Sommaire
DigiCert, l’une des plus grandes autorités de certification au monde, vient de confirmer une fuite de données. Une migration de serveur, en février 2025, avait exposé par erreur un système interne sur internet — un système qui n’était censé être accessible que via VPN. Un compte non autorisé a pu y consulter des données clients archivées entre le 27 juin et le 2 juillet 2026 : noms, adresses e-mail professionnelles, numéros de téléphone et adresses postales. Pour certaines personnes, les dossiers exposés contenaient aussi des pièces d’identité fournies lors de la validation d’un certificat : permis de conduire, passeport ou facture.
La bonne nouvelle, c’est que le cœur du métier n’a pas été touché : les systèmes d’émission, CertCentral et DigiCert ONE, n’ont pas été compromis, les certificats déjà émis restent valides et aucun mot de passe n’a fuité. DigiCert a restreint l’accès au système, désactivé l’auto-inscription et commencé à prévenir les clients concernés. Concrètement, si vous avez déjà acheté un certificat DigiCert, ne changez rien à votre certificat — mais redoublez de vigilance face aux e-mails de phishing : vos coordonnées circulent peut-être.
Lento dit : une autorité de certification qui laisse traîner un système interne sur internet pendant seize mois, ça fait désordre. Vos certificats sont sains, mais vos coordonnées, elles, sont dans la nature — et un e-mail de phishing signé « DigiCert » aura l’air très convaincant.
