Segurança · matéria IAlfabeto
Vazamento de dados expõe documentos de clientes na DigiCert
Uma falha em migração de servidores deixou dados cadastrais e documentos pessoais acessíveis na internet por semanas.
A empresa DigiCert sofreu uma invasão de dados após um erro durante a movimentação de seus servidores. O problema deixou um sistema interno exposto diretamente na internet. Com isso, terceiros não autorizados conseguiram acessar informações de clientes e documentos de identificação.
A DigiCert atua como uma autoridade de certificação (certificate authority), emitindo credenciais digitais que garantem a segurança de sites. A companhia começou a enviar avisos aos clientes afetados pelo incidente. A descoberta veio a público após profissionais de tecnologia compartilharem os avisos recebidos nas redes sociais.
Como o erro aconteceu
O problema teve origem em fevereiro de 2025, durante uma migração de servidores da empresa. Um sistema que deveria ficar isolado em uma rede privada, acessível apenas por meio de uma rede virtual privada (VPN, do inglês virtual private network), acabou ficando visível na web.
Esse ambiente contava com uma função de cadastro automático. Usuários externos conseguiam criar contas no sistema. Embora essas contas não estivessem ligadas a aplicações específicas, uma falha de autorização permitiu a leitura de dados de clientes que estavam arquivados.
A empresa descobriu contas suspeitas no sistema exposto em junho de 2026. Inicialmente, a equipe avaliou que não havia risco de acesso aos dados. Uma investigação posterior confirmou que uma conta não autorizada conseguiu consultar os registros entre os dias 27 de junho e 2 de julho de 2026.
Quais informações foram afetadas
O incidente atingiu uma parcela dos dados de clientes arquivados pela empresa. Entre as informações expostas estão nomes, endereços de e-mail corporativo, números de telefone e endereços comerciais.
Para alguns usuários, o material incluía documentos de identificação pessoal enviados para validação. A lista abrange carteiras de motorista, passaportes e contas de consumo, como faturas de serviços públicos.
A DigiCert informou que o acesso foi apenas de leitura. Os invasores não conseguiram alterar registros, aprovar validações ou emitir novos certificados digitais. Os sistemas principais de emissão de certificados e as senhas de acesso dos clientes continuam seguros.
Medidas de correção adotadas
Assim que a gravidade foi confirmada em outubro de 2026, a empresa aplicou correções de segurança. O acesso ao sistema afetado foi restrito e a ferramenta de cadastro automático foi desativada.
A companhia também implementou controles adicionais de acesso para evitar novas exposições. O trabalho de análise dos documentos de identificação expostos continua para identificar todas as pessoas que precisam ser avisadas individualmente.
Entenda
Por que isso importa
Este caso mostra como um erro simples de configuração em servidores pode gerar grandes riscos de segurança para empresas de tecnologia. Quando dados confidenciais e documentos de identidade ficam expostos, clientes correm o risco de terem suas informações usadas em fraudes de identidade. Para o mercado, o episódio reforça a necessidade de auditorias constantes em migrações de sistemas. Nenhuma empresa, por mais especializada em segurança que seja, está imune a falhas humanas ou estruturais. Proteger dados arquivados com o mesmo rigor dos sistemas ativos é um desafio urgente para o setor.
na sua empresa
- Pequenas empresas que migram dados para a nuvem precisam revisar permissões de acesso para evitar que sistemas internos fiquem visíveis na internet.
- Negócios que coletam documentos de clientes devem armazenar esses arquivos em ambientes criptografados e com acesso restrito.
- Monitorar regularmente os cadastros e acessos aos sistemas ajuda a identificar contas suspeitas antes que ocorra a leitura de dados sensíveis.
termos explicados
- autoridade de certificação (certificate authority)
- Empresa confiável que emite certificados digitais para garantir a segurança e a identidade de sites na internet.
- rede virtual privada (VPN)
- Tecnologia que cria uma conexão segura e criptografada entre um usuário ou sistema e uma rede interna protegida.
- engenharia reversa
- Método de analisar um sistema ou software para entender seu funcionamento interno, muitas vezes usado para identificar falhas.
o que fazer agora
- Revisar regularmente as configurações de servidores e ambientes de nuvem para garantir que sistemas internos não estejam expostos na internet.
- Desativar recursos de cadastro automático em áreas que não exigem abertura pública de contas.
- Implementar autenticação forte e controle rigoroso de acesso em todas as camadas de armazenamento de dados.
- Monitorar logs de acesso para detectar rapidamente qualquer atividade atípica em sistemas corporativos.
Cuidados
A DigiCert ainda está revisando quais documentos específicos foram acessados, o que significa que o número exato de vítimas e a extensão total do vazamento ainda não foram totalmente detalhados pela empresa.
Quer ler a reportagem original, em inglês, direto na fonte?
Matéria escrita com apoio de IA, sob responsabilidade editorial de Rodolfo Scheffer, a partir da reportagem citada, que é a fonte dos fatos. Viu um erro? Confira a fonte original e nos avise.
🔒 extras pra quem tem conta grátis