DigiCert, een van ’s werelds grootste leveranciers van digitale certificaten en beveiligingsoplossingen, is getroffen door een ernstig datalek. Een menselijke fout tijdens een servermigratie zorgde ervoor dat een intern bedrijfssysteem tijdelijk onbeschermd op het internet stond. Hierdoor hebben onbevoegden toegang gekregen tot gevoelige klantinformatie en officiële identiteitsdocumenten. Het incident onderstreept hoe kwetsbaar zelfs toonaangevende cybersecuritybedrijven zijn voor configuratiefouten. Voor organisaties wereldwijd is dit een pijnlijke herinnering dat digitale vertrouwensketens zo sterk zijn als hun zwakste link.
Het lek ontstond toen een verouderd systeem werd overgezet naar een nieuwe infrastructuur, waarbij firewallregels onjuist werden toegepast. DigiCert bevestigt dat onder meer namen, contactgegevens en geüploade identificatiebewijzen van klanten zijn ingezien. Deze documenten worden gebruikt voor de verificatie bij het uitgeven van SSL- en TLS-certificaten. Binnen de Europese Unie valt dit incident onder de streng gehandhaafde bepalingen van de AVG (GDPR), wat kan leiden tot forse meldplichten en mogelijke boetes. DigiCert heeft de getroffen klanten inmiddels geïnformeerd en het lek direct gedicht na de ontdekking ervan.
De gevolgen voor Europese en Nederlandse organisaties zijn aanzienlijk. Het buitmaken van identiteitsdocumenten verhoogt de kans op gerichte spear-phishing en identiteitsfraude bij beheerders van kritieke IT-infrastructuur. Organisaties moeten hun leveranciersrisico's opnieuw evalueren en strengere controle op menselijke fouten bij migraties doorvoeren. Dit benadrukt de noodzaak van continue monitoring van de aanvalsoppervlakte, zelfs bij gevestigde beveiligingspartners.
Op korte termijn zullen toezichthouders en klanten eisen dat DigiCert aanvullende auditrapporten overlegt over hun interne infrastructuur. Het incident zal het debat over de naleving van de Europese NIS2-richtlijn versnellen, waarbij strengere beveiligingseisen geldt voor de gehele toeleveringsketen. Bedrijven doen er goed aan om interne autorisatieprocessen en configuratiebeheer direct te herzien. Enkel door constante waakzaamheid en transparantie kan het geschonden vertrouwen in de digitale certificaatketen effectief worden hersteld.