DigiCert, penyedia sertifikat digital yang dipakai banyak situs dan perusahaan, mengonfirmasi bahwa orang tak berwenang mengakses sistem bisnis internalnya yang menyimpan arsip data pelanggan. Laporan insiden DigiCert di Bugzilla Mozilla menyebut akses data terjadi pada 27 Juni sampai 2 Juli 2026, dan DigiCert baru menetapkannya sebagai peristiwa yang wajib dilaporkan pada 19 Oktober 2026. Belum ada pihak yang mengklaim serangan ini, dan jumlah korban tidak diungkap.
Bagaimana celah ini terbuka
Menurut laporan itu, pada 4 Februari 2025 DigiCert memindahkan sistem tersebut dari segmen jaringan yang dibatasi VPN ke zona yang bisa dijangkau dari luar. Fitur pendaftaran akun mandiri ikut terbuka. Akun non-karyawan yang terdaftar lewat fitur itu ternyata bisa membaca arsip data, karena model otorisasinya tidak memperhitungkan pendaftaran dari luar.
Tim internal DigiCert sempat melihat akun non-karyawan pada 18 Juni 2026, tetapi peninjau menyimpulkan akun itu tidak punya akses data. Program keamanan terkelola melapor pada 21 Juni, dan patch otorisasi baru masuk produksi pada 2 Juli. DigiCert mulai menduga ada akses ke data arsip pada 12 Oktober 2026. Seperti kebocoran lewat platform pihak ketiga yang kami bahas pada kasus Amadeus, masalahnya ada di sistem pendukung, bukan di layanan utamanya.
Data yang terdampak sebagian besar berupa nama, email bisnis, nomor telepon, dan alamat bisnis. Pada sebagian kecil akun pelanggan, arsip juga memuat dokumen yang diunggah pelanggan, seperti paspor, SIM, atau tagihan utilitas. DigiCert hanya menyebut “sebagian kecil” data arsip, tanpa angka.
Yang tidak terdampak dan langkah DigiCert
DigiCert menyatakan layanan Certificate Authority, CertCentral, dan DigiCert ONE tidak terdampak. Penyelidikannya tidak menemukan penerbitan, perubahan validasi, atau pencabutan sertifikat yang terkait dengan akun tak berwenang tersebut. Pelanggan tidak diminta mengganti sertifikat yang sedang aktif.
Perbaikan yang sudah dikerjakan DigiCert mencakup patch otorisasi, pembatasan akses ke trafik VPN, reset kata sandi seluruh pengguna sistem itu pada 17 Oktober, penonaktifan pendaftaran mandiri, dan pemindahan endpoint ke load balancer dengan IP privat pada 24 Oktober. Audit akhir atas server asal yang bisa dijangkau dari luar dan peninjauan peringatan akun masih berjalan dengan target 6 November 2026. DigiCert mengatakan sedang meninjau dokumen identitas untuk menentukan siapa yang terdampak, lalu akan memberi tahu mereka.
Langkah yang perlu diambil pembaca
Bila organisasi Anda pernah mengunggah dokumen identitas ke DigiCert untuk validasi sertifikat, tunggu pemberitahuan resmi dari DigiCert dan hubungi tim dukungan mereka bila ingin memastikan status akun. Waspadai email atau telepon yang menyebut DigiCert dan menyinggung validasi atau dokumen Anda, karena nama, email, dan nomor telepon bisnis ikut terpapar. Cek alamat pengirim sebelum membuka tautan. Pelanggan di Indonesia yang memakai DigiCert lewat reseller sebaiknya menanyakan langsung ke reseller itu apakah data mereka termasuk yang terdampak.
Sumber: laporan insiden DigiCert di Bugzilla Mozilla, Cyber Security News, dan GBHackers. Gambar: Cyber Security News.