证书机构迁移服务器出错，客户护照和驾照信息遭曝光

数字证书服务商 DigiCert 披露一起数据泄露事件。BleepingComputer 11月5日报道，问题源于服务器迁移过程中的配置失误：原本只允许通过 VPN 访问的内部业务系统，被错误地暴露到了互联网。外部人员因此能够创建账户，并利用系统授权缺陷，以只读方式访问部分历史客户资料。

DigiCert 表示，受影响的是一小部分归档客户数据，涉及姓名、企业邮箱、电话号码和企业地址。对部分客户而言，记录中还包含身份验证材料，例如驾照、护照以及水电账单等能够显示姓名和住址的文件。公司已经开始向受影响客户发送通知，但仍在逐一核查身份文件，以确认具体哪些人受到影响。

事件调查显示，相关系统在2025年2月的一次服务器迁移后被暴露。系统原本带有供其他应用使用的自助注册功能，外部用户可以创建账户。虽然这些账户没有被分配到具体应用，但授权机制存在缺陷，导致账户能够读取归档客户信息。DigiCert 在2026年6月发现未经授权的账户时，最初认为这些账户无法访问客户资料；直到10月19日进一步调查，才确认有账户在6月27日至7月2日期间实际读取过客户数据。

公司称，攻击者只能读取资料，无法修改记录、批准证书验证或签发证书。DigiCert 已限制系统访问、关闭自助注册并增加访问控制，同时表示证书服务、CertCentral 和 DigiCert ONE 平台没有被攻破，客户登录凭据和已签发证书仍然安全。具体受影响人数尚未公布。短评：身份文件一旦外泄，后续可能被用于冒名注册或精准社工，收到异常身份核验请求时应通过官方渠道确认。