数字证书大厂 DigiCert 在 Mozilla 的公开 Bugzilla 平台上确认，一套存放归档客户资料的内部业务系统，因一次基础设施迁移意外暴露在互联网上，时间长达 17 个月，部分记录包含护照等敏感身份文件。先说结论：DigiCert 称其证书签发服务和客户登录信息未受影响，但身份文件被未授权账号读取，仍是一次严重的管理失误。
事件时间线
| 时间 | 发生的事 |
|---|---|
| 2025 年 2 月 4 日 | 内部系统从 VPN 限制网络迁到另一个可用区，意外对外开放，并启用了本不该开放的账号注册功能 |
| 2026 年 6 月 18 日 | DigiCert 发现有非员工账号；初步评估误判“未分配应用的账号读不到存档数据” |
| 2026 年 6 月 21 日 | 通过安全研究计划收到又一份报告 |
| 2026 年 7 月 2 日 | 部署授权修复，暴露结束；调查发现某未授权账号曾在 6 月 27 日至 7 月 2 日读取归档记录 |
| 2026 年 10 月 19 日 | 确认客户数据确实被访问，距首次发现异常账号约四个月 |
问题出在哪
通过开放注册创建的账号不需要多因素认证（MFA），而 DigiCert 对自家员工通常是要求 MFA 的。这些账号只有只读权限，也没有分配任何应用，但仍能打开归档的客户记录。这些记录是客户为验证身份提交的，大多是企业联系方式，少数账号还含有护照、驾照、水电账单等能显示姓名和地址的文件。
DigiCert 的说法与整改
- 未授权账号无法修改记录、批准身份验证或签发证书；
- 证书签发服务 CertCentral 和 DigiCert ONE 不受影响，客户登录信息和已签发证书也未被动过；
- 已关闭所有业务系统实例的自助注册，把剩余对外端点移到私有网络之后，重置密码、复查权限、增加监控，网络访问控制变更现在需要安全审批；
- 尚有两项收尾工作，截止日期为 2026 年 11 月 6 日：一是内部审计，确认没有业务系统源站仍对外开放；二是最终复核异常账号创建和权限变更的自动告警。
DigiCert 没有公布受影响的客户、人数或文件数量，只称涉及其归档信息中的一小部分。报道还提到，DigiCert 此前曾发生过安全事件，导致用于恶意软件活动的代码签名证书被盗。
给企业和用户的提醒
这次事件的教训很具体：存放身份文件的系统必须强制 MFA，并对新建账号的查看行为设置告警；每次基础设施变更后都要做一遍安全复查。如果您的企业是 DigiCert 客户，建议向 DigiCert 确认自己的资料是否在受影响范围内。以上内容依据公开报道整理，请以 DigiCert 官方事件报告为准。