DigiCert xác nhận lộ thông tin khách hàng do lỗi bảo mật kéo dài 16 tháng
"DigiCert experienced a 16-month security lapse stemming from a misconfigured server migration in February 2025, exposing an internal system to the public internet. An unauthorized user gained access to archived customer data, including identity documents. The issue was discovered in June 2026, but remediation took until July 2026, with data access confirmed in October 2026."
Lỗ hổng này cho thấy quy trình kiểm tra bảo mật của DigiCert còn yếu. Việc lộ dữ liệu cá nhân của khách hàng có thể dẫn đến mất mát tài chính và rủi ro về danh tiếng.
Sự cố này có thể ảnh hưởng đến niềm tin của khách hàng vào DigiCert. Các doanh nghiệp Việt Nam sử dụng dịch vụ của DigiCert cần đánh giá lại rủi ro bảo mật và cân nhắc các giải pháp thay thế.
DigiCert vừa thông báo một lỗ hổng bảo mật kéo dài 16 tháng, bắt nguồn từ việc di chuyển máy chủ sai quy trình từ tháng 2/2025. Sự cố này đã để lộ hệ thống nội bộ ra internet công cộng, cho phép một người dùng trái phép truy cập dữ liệu khách hàng, bao gồm cả giấy tờ tùy thân.
Đây là vấn đề các kỹ sư và doanh nghiệp Việt Nam cần quan tâm, đặc biệt nếu đang sử dụng dịch vụ chứng chỉ số của DigiCert. Việc lộ thông tin cá nhân có thể dẫn đến rủi ro về bảo mật và pháp lý.
DigiCert đã bắt đầu thông báo cho khách hàng bị ảnh hưởng, nhưng chưa tiết lộ số lượng người dùng bị ảnh hưởng. Dữ liệu bị lộ bao gồm tên, địa chỉ email công việc, số điện thoại, địa chỉ doanh nghiệp, và một số trường hợp có thể bao gồm hộ chiếu, bằng lái xe, hóa đơn tiện ích hoặc các giấy tờ tùy thân khác.
Theo báo cáo sự cố, DigiCert đã di chuyển hệ thống nội bộ từ mạng VPN bảo vệ sang một khu vực khả dụng khác vào tháng 2/2025. Thay đổi này vô tình mở hệ thống ra internet công cộng. Lỗ hổng này kéo dài hơn 16 tháng trước khi được phát hiện. Hệ thống sử dụng cùng nền tảng quản lý tài khoản với các sản phẩm hướng tới khách hàng, bao gồm cả tính năng tự đăng ký không nên có trên hệ thống nội bộ. Điều này cho phép người ngoài tạo tài khoản mà không cần xác thực đa yếu tố và truy cập hồ sơ khách hàng cũ.
DigiCert phát hiện các tài khoản trái phép vào ngày 18/6/2026, nhưng ban đầu cho rằng chúng không gây hại. Một nhà nghiên cứu bảo mật đã cảnh báo về vấn đề tạo tài khoản vào ngày 21/6/2026, nhưng phải đến ngày 2/7/2026 DigiCert mới tắt tính năng này. Đến ngày 12/10/2026, DigiCert mới điều tra xem thông tin khách hàng có bị truy cập hay không. Kết quả xác nhận vào ngày 19/10/2026 cho thấy một tài khoản trái phép đã truy cập một phần hồ sơ cũ từ ngày 27/6 đến ngày 2/7. DigiCert mô tả số lượng hồ sơ bị ảnh hưởng là “một phần nhỏ” trong kho lưu trữ của họ. https://www.theregister.com/2026/11/06/digicert_data_breach/
DigiCert đã tắt tính năng tự đăng ký, thắt chặt quyền truy cập mạng và bổ sung giám sát. Các dịch vụ Certificate Authority, CertCentral và DigiCert ONE không bị ảnh hưởng. Công ty cũng không tìm thấy bằng chứng về việc tài khoản trái phép được sử dụng để cấp, thu hồi hoặc xác thực chứng chỉ.
Câu hỏi thường gặp
Lỗ hổng bảo mật DigiCert kéo dài bao lâu?
Lỗ hổng bảo mật kéo dài 16 tháng, từ tháng 2/2025 đến tháng 7/2026, trước khi DigiCert tắt tính năng tự đăng ký tài khoản.
Loại dữ liệu nào của khách hàng bị lộ?
Dữ liệu bị lộ bao gồm tên, địa chỉ email công việc, số điện thoại, địa chỉ doanh nghiệp và có thể bao gồm hộ chiếu, bằng lái xe, hóa đơn tiện ích hoặc các giấy tờ tùy thân khác.
DigiCert đã làm gì để khắc phục lỗ hổng?
DigiCert đã tắt tính năng tự đăng ký tài khoản, thắt chặt quyền truy cập mạng và bổ sung giám sát. Các dịch vụ chính của họ không bị ảnh hưởng.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc kiểm tra bảo mật kỹ lưỡng sau khi di chuyển hệ thống. Các doanh nghiệp Việt Nam sử dụng dịch vụ của DigiCert nên xem xét lại quy trình bảo mật của mình và đảm bảo rằng dữ liệu khách hàng được bảo vệ đầy đủ. Điều đáng chú ý là thời gian phát hiện và khắc phục lỗ hổng kéo dài, cho thấy cần có hệ thống giám sát và phản ứng nhanh hơn.