Autoridade certificadora identificou acesso indevido a dados de clientes, incluindo passaportes e carteiras de motorista. Empresa afirma que certificados digitais não foram comprometidos.
A DigiCert, uma das principais autoridades certificadoras do mercado internacional, confirmou um incidente de segurança que permitiu o acesso não autorizado a informações arquivadas de clientes, incluindo dados pessoais e, em determinados casos, documentos utilizados em procedimentos de identificação.
O episódio teve origem em uma migração de infraestrutura realizada em fevereiro de 2025, quando um sistema interno, anteriormente protegido por uma rede privada virtual (VPN), tornou-se acessível pela internet.
A configuração permaneceu inadequada por mais de 16 meses, até que medidas de restrição de acesso começaram a ser implementadas em junho e julho de 2026.
Embora o acesso indevido aos dados tenha ocorrido entre 27 de junho e 2 de julho de 2026, a empresa somente confirmou a exposição das informações em 19 de outubro.
O caso ganhou repercussão internacional em 5 de novembro, quando começaram a circular informações sobre as notificações enviadas aos clientes. Nesta sexta-feira, 6 de novembro, novas reportagens internacionais detalharam a cronologia do incidente e as deficiências identificadas nos controles de segurança.
Documentos de identidade estavam entre os dados acessados
Segundo as informações divulgadas pela DigiCert, os registros comprometidos continham nomes, endereços de e-mail corporativos, números de telefone e endereços comerciais.
Em uma parcela menor das contas afetadas, também havia documentos apresentados pelos clientes, como passaportes, carteiras de motorista, contas de serviços públicos e outros comprovantes contendo informações pessoais.
Esses documentos são particularmente relevantes porque podem integrar os procedimentos de identificação e validação utilizados na contratação de certificados digitais.
A DigiCert informou que o incidente atingiu uma pequena proporção de seus registros arquivados, mas não divulgou o número de clientes ou pessoas afetadas.
A empresa iniciou o envio de notificações e continua analisando os documentos envolvidos para identificar individualmente os titulares cujas informações foram acessadas.
Até o momento, não há confirmação pública de que clientes brasileiros estejam entre os afetados.
Presença da DigiCert no mercado brasileiro
No Brasil, as soluções da DigiCert chegam ao mercado por diferentes canais de comercialização, que devem ser distinguidos. Entre os parceiros oficiais está a Certisign, cuja relação comercial com a DigiCert é documentada no diretório internacional da companhia. Outro segmento é formado por provedores de hospedagem e infraestrutura, como Locaweb, UOL Host, SAN Internet e HostGator Brasil, que atuam no mercado de certificados SSL/TLS.
Há ainda revendedores especializados, como CertSuperior Brasil e SSL.com.br/TargetTrust, cujas relações comerciais atuais com a fabricante também precisam ser verificadas.
Além desses canais, organizações podem contratar diretamente soluções corporativas da DigiCert, incluindo gerenciamento de certificados e infraestrutura de chaves públicas (PKI). O portfólio internacional da companhia inclui marcas como GeoTrust, RapidSSL e Thawte.
Até o momento, não há confirmação de que empresas brasileiras, seus parceiros comerciais ou clientes tenham sido afetados pelo incidente de segurança divulgado pela DigiCert.
Como uma migração de infraestrutura abriu caminho para o acesso indevido
A investigação identificou uma combinação de falhas de configuração, autenticação e autorização.
Durante a migração realizada em fevereiro de 2025, um sistema interno de negócios foi transferido para uma infraestrutura que permitia acesso pela internet.
A aplicação utilizava uma plataforma de gerenciamento de contas que possuía um recurso de autocadastro destinado a outras finalidades.
Esse mecanismo acabou permitindo a criação de contas externas sem a exigência de autenticação multifator (MFA).
Embora essas contas não estivessem vinculadas a uma aplicação específica, uma deficiência nos controles de autorização permitia consultar registros arquivados de clientes.
O acesso era limitado à leitura das informações, mas suficiente para expor dados pessoais e documentos armazenados no sistema.
O incidente demonstra como a combinação de uma configuração inadequada de rede com controles insuficientes de autorização pode comprometer informações sensíveis, mesmo sem a exploração de uma vulnerabilidade criptográfica.
DigiCert identificou contas suspeitas em junho, mas só confirmou o acesso aos dados em outubro
Um dos aspectos mais relevantes do incidente está no intervalo entre os primeiros sinais de atividade não autorizada e a confirmação da exposição das informações.
Em 18 de junho de 2026, a DigiCert identificou contas que não pertenciam a seus funcionários.
Na ocasião, a avaliação inicial concluiu que essas contas não tinham acesso aos dados porque não estavam associadas a uma aplicação.
Em 21 de junho, um pesquisador de segurança comunicou a possibilidade de criação de contas externas.
Posteriormente, a investigação identificou que uma conta não autorizada havia consultado registros arquivados entre 27 de junho e 2 de julho.
A correção da falha de autorização foi implementada em 2 de julho.
Entretanto, somente em 12 de outubro a empresa passou a investigar especificamente a possibilidade de acesso aos dados arquivados.
A confirmação ocorreu em 19 de outubro, mais de três meses depois do encerramento do período de acesso indevido identificado.
A cronologia evidencia duas questões distintas: a exposição prolongada de um sistema interno à internet e a demora para reconhecer que a atividade não autorizada havia resultado em acesso a informações de clientes.
Certificados digitais e sistemas de emissão não foram comprometidos, afirma a empresa
A DigiCert esclareceu que o incidente não comprometeu seus serviços de autoridade certificadora nem as plataformas CertCentral e DigiCert ONE.
Segundo a companhia, os sistemas responsáveis pela emissão e validação de certificados operam em segmentos de rede separados e não foram atingidos pelo acesso externo.
A investigação também não identificou atividades de emissão, revogação ou validação de certificados associadas à conta não autorizada.
A empresa afirmou que as credenciais de acesso de clientes e os certificados digitais emitidos permanecem seguros e válidos.
Dessa forma, não há necessidade de substituir ou reemitir certificados digitais em decorrência desse incidente, conforme as informações apresentadas pela DigiCert.
Essa distinção é fundamental: o comprometimento de informações arquivadas de clientes não significa, por si só, que as chaves criptográficas, os sistemas de emissão ou a cadeia de confiança dos certificados tenham sido comprometidos.
Medidas corretivas e revisão dos controles de segurança
Após identificar as falhas, a DigiCert adotou medidas para restringir o acesso ao sistema e reforçar os mecanismos de proteção.
Entre as providências divulgadas estão a desativação do autocadastro, a revisão das permissões de acesso, a restrição de conectividade dos sistemas internos e a implementação de mecanismos adicionais de monitoramento.
A empresa também realizou testes de segurança, redefiniu senhas de usuários do sistema interno e estabeleceu controles adicionais para mudanças de infraestrutura que possam alterar a exposição de aplicações à internet.
O relatório do incidente prevê ainda verificações para confirmar que servidores internos não permaneçam acessíveis externamente e que alterações inesperadas de contas e permissões sejam devidamente monitoradas.
O que o incidente representa para o mercado de certificação digital
O episódio merece atenção especial do setor de certificação digital porque envolve uma empresa cuja atividade está diretamente associada à construção e manutenção da confiança nas transações eletrônicas.
Autoridades certificadoras dependem de processos rigorosos para verificar identidades, administrar informações de clientes e preservar a integridade dos sistemas que sustentam a emissão de certificados.
Entretanto, a segurança dessas organizações não se limita à proteção das chaves criptográficas ou à infraestrutura diretamente envolvida na emissão.
Sistemas administrativos, arquivos históricos, plataformas de atendimento e repositórios de documentos também fazem parte do ambiente de risco.
O incidente da DigiCert demonstra que a segregação dos sistemas críticos pode preservar as operações de certificação mesmo quando outros componentes da organização são comprometidos.
Ao mesmo tempo, evidencia a necessidade de aplicar controles de segurança igualmente rigorosos aos sistemas que armazenam documentos de identificação e informações pessoais.
Para organizações que dependem de certificados digitais e serviços de confiança, o caso reforça a importância de avaliar não apenas a segurança criptográfica de seus fornecedores, mas também os processos de gestão de identidades, autorização, armazenamento de documentos e resposta a incidentes.
O que ainda precisa ser esclarecido
Apesar das informações já divulgadas, permanecem questões importantes.
A DigiCert ainda não informou publicamente o número total de pessoas e organizações afetadas, nem apresentou uma distribuição geográfica dos clientes envolvidos.
Também não foram divulgadas informações suficientes para determinar a extensão de eventual utilização posterior dos documentos acessados.
A empresa continua analisando os registros e notificando os clientes identificados.
O Crypto ID acompanhará os desdobramentos do incidente, especialmente eventuais esclarecimentos sobre o alcance internacional da exposição, a proteção dos documentos utilizados na validação de identidade e a conclusão das medidas corretivas anunciadas.
Fonte da divulgação do incidente: Autodeclaração da DigiCert
Relatório Preliminar de Incidente
Descrição do incidente: A DigiCert identificou um evento envolvendo acesso não autorizado a um de nossos sistemas de negócios que armazena informações fornecidas por representantes de clientes para validar sua identidade. Nenhuma operação de certificado foi afetada.
Quase 90% das empresas planejam adotar criptografia pós-quântica, mas só 7% avançaram na implantação
eMudhra abandona o mercado de SSL/TLS, e Chrome remove uma de suas raízes nesta terça
Falha na geração de chaves na Índia explica bloqueio emergencial do Go conforme noticiamos ontem
Acesse aqui e saiba tudo sobre TLS, o protocolo de segurança que garante o sigilo das informações e identifica empresas, dispositivos e objetos no mundo eletrônico.
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
