Em resposta ao portal, empresa confirma que informações envolvidas no incidente incluíam passaportes e outros documentos de verificação de identidade, mas não informa quantas pessoas foram afetadas. A falta de esclarecimentos também mobiliza veículos internacionais de cibersegurança
A DigiCert, uma das principais autoridades certificadoras do mercado internacional, confirmou ao Crypto ID que o incidente de segurança envolvendo seus sistemas internos atingiu informações de contato corporativo e, em determinados casos, documentos utilizados para verificação de identidade, como passaportes, carteiras de habilitação e comprovantes de endereço.
A confirmação foi encaminhada pelo Departamento de Comunicação Corporativa da DigiCert, em resposta aos questionamentos apresentados pelo portal sobre a natureza das informações envolvidas e as consequências da exposição.
Embora tenha confirmado os tipos de dados envolvidos e informado que os clientes afetados foram notificados, a empresa não esclareceu quantas pessoas ou organizações tiveram informações acessadas, qual o volume total de registros comprometidos ou a abrangência geográfica do incidente.
O episódio merece atenção especial porque envolve informações pessoais fornecidas por profissionais que representam organizações em processos comerciais e de verificação de identidade relacionados ao mercado de certificação digital.
DigiCert responde ao Crypto ID
Na manifestação oficial encaminhada ao Crypto ID, o Departamento de Comunicação Corporativa da DigiCert informou:
“A DigiCert entrou em contato com os clientes afetados, fornecendo informações específicas sobre cada caso. As informações envolvidas incluíam dados de contato comerciais, como nomes, endereços de e-mail corporativos, números de telefone e/ou endereços comerciais e, em alguns casos, quando fornecidos, documentos de verificação de identidade, como passaportes, carteiras de habilitação ou contas de serviços públicos.”
Departamento de Comunicação Corporativa da DigiCert
Tradução da declaração original enviada em inglês.
A empresa acrescentou que adotou medidas para tratar, conter e corrigir o problema.
Segundo a declaração, a companhia não tem conhecimento de evidências de uso indevido das informações envolvidas e comunicou o incidente às autoridades policiais, com as quais continuará colaborando conforme necessário.
A ausência de evidências conhecidas de utilização indevida, entretanto, não elimina os riscos associados à exposição de informações pessoais, especialmente quando envolvem documentos de identidade.
A preocupação não é exclusiva do Crypto ID: veículos internacionais também cobram esclarecimentos
A falta de informações sobre a dimensão do incidente também foi registrada por veículos internacionais especializados em tecnologia e cibersegurança.
O britânico The Register, em reportagem publicada em 6 de novembro de 2026, informou que a DigiCert não havia respondido às suas perguntas até o fechamento da matéria.
O BleepingComputer, em 5 de novembro, declarou ter procurado a companhia para obter esclarecimentos adicionais, inclusive sobre o número de pessoas afetadas, sem registrar resposta até aquela publicação.
O SecurityWeek, também em 6 de novembro, informou ter encaminhado perguntas à empresa sobre a quantidade de clientes atingidos e que atualizaria sua reportagem caso recebesse resposta.
Já o The Record, da Recorded Future News, registrou inicialmente a ausência de resposta, mas posteriormente publicou uma manifestação da DigiCert, sem que fosse esclarecido o número de afetados.
O Crypto ID também procurou diretamente a empresa e recebeu posicionamento oficial de seu Departamento de Comunicação Corporativa, como apresentado acima nessa matéria, mas as questões sobre o volume de dados, o número de pessoas e organizações atingidas e a abrangência geográfica permanecem sem esclarecimento.
Questionamentos também aparecem no ambiente de transparência da Mozilla
A discussão sobre o incidente ultrapassou a cobertura jornalística e chegou ao ambiente público de acompanhamento de autoridades certificadoras mantido pela Mozilla.
No registro Bugzilla nº 2084460, dedicado ao incidente da DigiCert, um participante questionou se as informações expostas haviam sido utilizadas nos processos de validação de assinantes de certificados e solicitou números sobre o conjunto de dados afetado.
A DigiCert respondeu que o acesso não autorizado ocorreu em um sistema interno utilizado para arquivar informações fornecidas por clientes. Reiterou que os dados envolviam principalmente contatos comerciais e, em determinados casos, documentos pessoais, além de informar que os clientes afetados haviam sido notificados.
Entretanto, a resposta não apresentou os números solicitados nem esclareceu diretamente a relação entre os registros arquivados e os procedimentos de validação.
O participante voltou a questionar a empresa, afirmando que suas perguntas não haviam sido respondidas.
O registro é particularmente relevante porque demonstra que a preocupação não está limitada à integridade dos certificados emitidos, mas alcança a natureza, a finalidade e a dimensão das informações armazenadas pela autoridade certificadora.
Como ocorreu o incidente
Segundo o relatório apresentado pela DigiCert à Mozilla, a origem do problema remonta a 4 de fevereiro de 2025, quando uma alteração na infraestrutura transferiu um sistema interno de negócios de um ambiente protegido por VPN para um segmento de rede acessível pela internet.
A mudança tornou disponível externamente uma funcionalidade de criação de contas que não deveria estar exposta naquele sistema.
Uma falha de autorização permitiu que contas criadas por esse mecanismo acessassem informações arquivadas de clientes, embora sem permissão para modificar os registros.
A DigiCert identificou contas não autorizadas em junho de 2026, mas inicialmente avaliou que elas não tinham acesso às informações armazenadas.
Posteriormente, a investigação identificou que uma conta não autorizada havia acessado registros entre 27 de junho e 2 de julho de 2026.
A confirmação de que dados de clientes haviam sido acessados ocorreu em 19 de outubro de 2026.
Portanto, é necessário distinguir dois períodos: o sistema permaneceu indevidamente acessível pela internet desde fevereiro de 2025, mas o acesso não autorizado aos registros de clientes identificado pela investigação ocorreu entre 27 de junho e 2 de julho de 2026.
Documentos de validação de identidade exigem atenção especial
Os dados envolvidos não se limitam a informações comerciais genéricas.
Passaportes, carteiras de habilitação e outros documentos de identificação podem conter informações pessoais utilizadas para confirmar a identidade de indivíduos em procedimentos de verificação.
No mercado de certificados digitais, esses procedimentos são especialmente relevantes porque contribuem para estabelecer a identidade das pessoas e organizações associadas aos certificados.
A exposição de registros dessa natureza levanta questões sobre a proteção dos arquivos históricos, os prazos de retenção e os mecanismos utilizados para restringir o acesso a informações pessoais.
Também merece atenção o fato de que dados de contato corporativo podem identificar profissionais que desempenham funções específicas dentro de suas organizações.
A associação entre nome, endereço eletrônico profissional, telefone e documentos pessoais pode aumentar os riscos de tentativas de fraude direcionada, engenharia social e utilização indevida de identidade.
Esses são riscos potenciais associados à natureza das informações, e não evidências de que tais práticas tenham ocorrido em consequência do incidente.
Certificados emitidos e serviços de certificação não foram afetados, segundo a empresa
A DigiCert informou em seu relatório que os sistemas responsáveis pelas operações de autoridade certificadora permaneceram separados do ambiente comprometido.
Segundo a companhia, as plataformas CertCentral e DigiCert ONE, as credenciais de acesso dos clientes e os certificados já emitidos não foram afetados.
A investigação também não identificou operações de validação, emissão ou revogação de certificados realizadas pela conta não autorizada.
Essa distinção é importante.
A ausência de comprometimento dos certificados não significa ausência de comprometimento das informações pessoais utilizadas ou armazenadas no relacionamento entre clientes e a autoridade certificadora.
São duas dimensões diferentes da segurança: a integridade operacional dos serviços de certificação e a proteção dos dados pessoais mantidos pela organização.
Relações comerciais no Brasil não foram esclarecidas
A resposta encaminhada ao Crypto ID não respondeu os questionamentos sobre clientes ou parceiros comerciais da DigiCert no Brasil estão entre os afetados pelo incidente.
A companhia mantém relações comerciais no mercado brasileiro, incluindo a Certisign Certificadora Digital S.A., identificada publicamente no diretório oficial da DigiCert como parceira de canal e revenda na América Latina.
Entretanto, não há informação confirmada de que a Certisign, seus clientes ou seus sistemas tenham sido afetados pelo incidente. A existência dessa relação comercial não permite estabelecer qualquer vínculo com os dados acessados, cuja distribuição geográfica permanece desconhecida.
Cabe observar, porém, que os processos de validação de certificados digitais, especialmente os TLS EV (Extended Validation), exigem verificações rigorosas da identidade e da existência jurídica das organizações, além da autoridade de seus representantes. Embora a DigiCert afirme que suas plataformas operacionais de certificação não foram comprometidas, o sistema afetado armazenava informações e documentos fornecidos por clientes. A empresa não esclareceu se os registros acessados incluíam documentos utilizados nesses procedimentos de validação, nem se havia informações relacionadas a certificados comercializados por parceiros no Brasil.
Medidas corretivas e a questão dos arquivos históricos
A DigiCert informou ter adotado medidas para restringir o acesso ao sistema, desabilitar funcionalidades de autorregistro, revisar permissões e ampliar os mecanismos de monitoramento. No acompanhamento público da Mozilla, a companhia também registrou a conclusão das ações corretivas previstas em seu relatório.
As providências apresentadas tratam da correção das vulnerabilidades identificadas e do fortalecimento dos controles de segurança. Entretanto, permanece uma questão importante para compreender o alcance do incidente: qual era a extensão histórica das informações armazenadas no sistema comprometido?
A pergunta ganha relevância quando considerada a trajetória da DigiCert no mercado internacional de certificação digital.
Fundada em 2003, a empresa ampliou sua presença global por meio de aquisições, incluindo a compra dos negócios de segurança de websites da Symantec, concluída em 2017.
Essa operação incorporou à DigiCert atividades e marcas associadas a uma longa trajetória no mercado de certificados digitais, entre elas VeriSign, GeoTrust e Thawte.
A VeriSign, por exemplo, foi uma das empresas pioneiras na infraestrutura comercial de certificação digital. Essa sucessão de operações ajuda a dimensionar a experiência histórica e a presença da DigiCert no ecossistema global de confiança digital.
VeriSign: uma das pioneiras da confiança na internet
Fundada em 1995, a VeriSign tornou-se uma das empresas mais importantes na expansão comercial dos certificados digitais SSL (Secure Sockets Layer), tecnologia que ajudou a estabelecer a confiança nas primeiras operações de comércio eletrônico.
Seus certificados permitiam que organizações comprovassem a identidade de seus websites e estabelecessem conexões criptografadas com os usuários, protegendo informações transmitidas pela internet, especialmente dados pessoais e financeiros.
O selo VeriSign Secured, exibido em milhões de páginas ao longo dos anos, tornou-se um símbolo reconhecido de segurança nas transações online, contribuindo para a popularização dos certificados SSL e para o desenvolvimento do mercado global de certificação digital.
Em 2010, a Symantec adquiriu os negócios de autenticação da VeriSign, incluindo suas operações de certificados SSL. Em 2017, esses negócios passaram para a DigiCert, após a aquisição da divisão de segurança de websites da Symantec.
A trajetória da VeriSign representa, portanto, uma parte importante da história da infraestrutura de confiança digital que sustenta a internet comercial.
Não significa, entretanto, que os arquivos envolvidos no incidente contenham necessariamente documentos provenientes dessas operações anteriores. Para determinar essa relação, seria necessário conhecer a origem dos registros armazenados no sistema, os períodos abrangidos e as políticas de retenção aplicadas aos documentos de clientes.
A distinção é importante porque o tempo de existência de uma autoridade certificadora e o período efetivo de armazenamento de informações pessoais são questões diferentes.
A proteção dos dados também faz parte da confiança digital
O incidente da DigiCert evidencia uma dimensão da segurança que nem sempre recebe a mesma atenção dedicada à proteção das chaves criptográficas, dos certificados e dos sistemas de emissão.
Autoridades certificadoras e prestadores de serviços de confiança digital mantêm relações com organizações de diferentes setores e países, que podem envolver o tratamento de informações pessoais necessárias à identificação e à validação de seus representantes.
A proteção desses registros exige controles que acompanhem todo o ciclo de vida das informações, desde sua coleta e utilização até o armazenamento, a retenção e o descarte.
No caso da DigiCert, a resposta encaminhada ao Crypto ID representa um esclarecimento oficial sobre a natureza dos dados envolvidos e as providências adotadas pela empresa. Ao mesmo tempo, o acompanhamento realizado pela imprensa internacional e pela comunidade técnica demonstra a importância de informações que permitam avaliar a real extensão de incidentes dessa natureza.
A transparência sobre esses episódios interessa não apenas aos clientes diretamente atingidos, mas também ao mercado que depende da infraestrutura de confiança digital para autenticar identidades, proteger comunicações e assegurar a integridade das transações eletrônicas.
A confiança depositada em uma autoridade certificadora não se limita à segurança dos certificados que ela emite. Abrange também a responsabilidade pela proteção das informações pessoais que recebe e mantém sob sua guarda.
Acompanhe no Crypto ID a cobertura do cenário mundial de certificados digitais TLS, que protegem as comunicações, autenticam servidores e contribuem para a segurança das transações eletrônicas em todo o mundo.
Com uma cobertura especializada e abrangente, o Crypto ID acompanha a evolução do mercado internacional de certificação digital, as principais autoridades certificadoras, os padrões tecnológicos, as mudanças regulatórias e os desafios que impactam a infraestrutura global de confiança digital.
Crypto ID, referência em informação sobre identidade, criptografia e confiança digital.
Acesse aqui!
Quase 90% das empresas planejam adotar criptografia pós-quântica, mas só 7% avançaram na implantação
eMudhra abandona o mercado de SSL/TLS, e Chrome remove uma de suas raízes nesta terça
Falha na geração de chaves na Índia explica bloqueio emergencial do Go conforme noticiamos ontem
PKI sob pressão: certificados invisíveis ampliam risco de indisponibilidade aponta DigiCert
Pense como um hacker: modernização da PKI vira prioridade estratégica
Infoblox e GoDaddy defendem padrões abertos para descoberta e identidade de agentes de IA
ID Talk com GlobalSign e Soluti: redução do ciclo de vida dos certificados TLS/SSL e Code Signing
A validade dos certificados de segurança SSL/TLS será reduzida para até 47 dias. Por Márcio D’Avila
Somos a voz influente no ecossistema brasileiro de segurança da informação e identificação digital, e nosso propósito é contribuir ativamente para a educação e o debate sobre esses temas.
Fale com a gente: +55 11 9 9286 7046 ou contato@cryptoid.com.br
