News

DigiCert: esposti dati e documenti d'identità dei clienti

DigiCert, autorità di certificazione (emette certificati digitali), ha ammesso che un sistema interno con dati archiviati dei clienti è rimasto raggiungibile da Internet: un account non autorizzato ha letto dati fra il 27 giugno e il 2 luglio 2026, in alcuni casi anche documenti d'identità. Il numero dei coinvolti non è stato dichiarato.

Fabrizio Picco
aggiornata il 5 novembre 2026 · si legge in 3 minuti

Hai comprato un certificato da DigiCert o gestisci un sito che ne usa uno? Qui trovi cosa è stato esposto, cosa dice l'azienda e cosa non si sa. Il resoconto si basa su un solo articolo, quello di BleepingComputer: la notizia è da leggere con questa cautela.

Cosa è successo

Una migrazione di server, a febbraio 2025, ha lasciato per errore un sistema interno di DigiCert aperto a Internet: prima era raggiungibile solo via VPN. Il sistema aveva una registrazione automatica di account, pensata per altre applicazioni, e un difetto di autorizzazione faceva leggere a quegli account i dati archiviati.

A giugno 2026 DigiCert trovò account non autorizzati e concluse che non potessero vedere dati dei clienti. Il 19 ottobre 2026 un'indagine ha confermato che un account aveva invece letto dati fra il 27 giugno e il 2 luglio 2026. DigiCert stessa ammette di averlo trattato prima come un problema di creazione account, non di accesso ai dati.

Qui va una foto: Illustrazione concettuale (non uno screenshot reale): una porta aperta in un muro di server, con una cartella di documenti visibile oltre la soglia.

Quali dati sono stati letti

Secondo l'articolo, per i record archiviati coinvolti:

DigiCert parla di «una piccola parte» dei dati archiviati e stava ancora verificando quali documenti fossero coinvolti. Dice anche che l'account poteva solo leggere: niente modifiche ai record, niente approvazioni di validazioni, niente emissione di certificati. Sono dichiarazioni dell'azienda.
  1. nome, email aziendale, telefono e indirizzo aziendale;
  2. per alcune persone, documenti come patente, passaporto o bollette, «se forniti».

Cosa controllare

DigiCert dice che CertCentral, DigiCert ONE e i servizi di emissione dei certificati non sono stati compromessi, e che le credenziali di accesso e i certificati già emessi restano sicuri. Le notifiche ai clienti sono in corso. L'articolo non riporta consigli ufficiali agli utenti; queste sono cautele di buon senso, non indicazioni di DigiCert:

  1. Leggi con attenzione la comunicazione di DigiCert, se la ricevi, e controlla che arrivi davvero dal loro dominio.
  2. Diffida di email o telefonate che citano DigiCert o la verifica del certificato: nomi, email e telefoni potrebbero essere usati per truffe mirate.
  3. Se hai inviato un documento d'identità per la validazione, chiedi a DigiCert se è fra quelli coinvolti.

Da dove vengono questi dati

Letto per intero: BleepingComputer (5 novembre 2026), che cita la notifica di violazione di DigiCert e il rapporto d'incidente su Mozilla Bugzilla. Nessuno dei due documenti originali è stato aperto: è una fonte sola, non una conferma incrociata.

Non risulta nelle fonti: quante persone sono coinvolte, di quali paesi, se ci sono clienti italiani, chi ha usato l'account, consigli ufficiali agli utenti.

Domande frequenti

Quanti clienti DigiCert sono stati colpiti?

Non è stato dichiarato. DigiCert parla di una piccola parte dei dati archiviati; BleepingComputer ha chiesto un numero e non aveva risposta alla pubblicazione.

I certificati dei miei siti sono a rischio?

DigiCert dice che i certificati emessi e i servizi di emissione non sono stati compromessi e che l'account non poteva emettere certificati. È una dichiarazione dell'azienda.

Da dove vengono questi dati

Questa guida l’ho scritta con l’aiuto dell’intelligenza artificiale e l’ho verificata sulle fonti qui sopra prima di pubblicarla. Come lavoro

Continua da qui