인증서 발급 기업 디지서트(DigiCert)가 내부 업무 시스템이 16개월 넘게 인터넷에 노출돼 있었고, 그 결과 일부 고객 정보가 외부에 접근됐다고 인정했다. 디지서트가 영향을 받은 고객에게 보낸 이메일 내용은 더 레지스터가 확인했다.
문제의 시작은 2025년 2월이다. 디지서트는 해당 시스템을 VPN으로 보호되던 네트워크에서 다른 가용 영역으로 옮겼는데, 이 과정에서 시스템이 공개 인터넷에 열렸다. 이 시스템은 고객용 제품과 같은 계정 관리 플랫폼을 쓰고 있었고, 있어서는 안 될 자가 가입 기능 때문에 외부인이 다중 인증 없이 계정을 만들 수 있었다. 권한 설정 결함까지 겹쳐 이 계정으로 보관된 고객 기록을 볼 수 있었다.
회사는 2026년 6월 18일 무단 계정을 발견했지만 애플리케이션에 연결돼 있지 않다는 이유로 위험이 없다고 판단했다. 사흘 뒤 한 보안 연구자가 계정 생성 문제를 알렸고, 7월 2일에야 자가 가입 문제를 막았다. 6월 27일부터 7월 2일 사이 무단 계정 하나가 보관 기록 일부에 접근했다.
디지서트는 10월 12일 실제 데이터 접근 여부를 조사하기 시작해 10월 19일 무단 접근을 확인했다. 노출된 정보는 이름, 업무용 이메일, 전화번호, 사업장 주소이며, 일부 기록에는 여권, 운전면허증, 공과금 고지서 같은 신원 확인 문서가 포함됐을 수 있다. 회사는 영향받은 기록이 전체 보관분의 '일부'라고 밝혔지만 피해 인원은 공개하지 않았다.