全球主要憑證頒發機構 DigiCert 於 Mozilla 根憑證合規渠道自報：內部業務歸檔系統在二零二五年二月遷移後誤對外網開放，直至二零二六年七月完成授權修補前可被外網觸達；未授權帳戶於二零二六年六月廿七日至七月二日讀取部分歸檔客戶資料。多數為商業聯絡資料；少數帳戶另含客戶提交的駕照、護照或住址證明。官方強調憑證簽發、CertCentral 與 DigiCert ONE 未受影響，已通知受影響客戶並向執法機構報告。

DigiCert／官方：業務歸檔系統未授權存取——聯絡資料與少數護照／駕照外露；憑證簽發未受影響；二零二五年二月起誤對外開放

全球大型公開金鑰基礎建設（PKI）憑證頒發機構 DigiCert，於 Mozilla 根憑證計劃的憑證機關合規缺陷追蹤（Bugzilla 2084460）自行披露一宗內部業務系統未授權存取事件。本文已對照 DigiCert 完整事故報告原文交叉核實，來源真實性已驗證：受影響的是用於歸檔客戶代表身分驗證資料的內部業務系統，而非簽發憑證的憑證機關（CA）生產鏈；官方列明可寫入紀錄、充當驗證審批人或簽發憑證的能力均不在該未授權帳戶權限內。對香港與亞洲依賴 DigiCert、CertCentral 或企業 TLS／程式碼簽署供應鏈的技術與合規團隊，這是一則可核實、且直接關乎供應商第三方風險與內部工具暴露面的案例。

一、事件核心：歸檔業務系統被讀，而非 CA 被接管

官方定性

DigiCert 寫明：事件涉及內部業務系統遭未授權存取，該系統用於歸檔客戶為驗證身分而提供的資料。DigiCert 的憑證機關服務、CertCentral 與 DigiCert ONE 未受影響並維持安全；客戶登入憑證與已簽發憑證仍然有效、可信。官方對活躍憑證與持續使用 DigiCert 服務的立場是：客戶無需就憑證本身採取額外行動。

報告亦強調，此事只影響「一小部分」歸檔資料；未授權存取屬唯讀，不能寫入紀錄、不能充當驗證審批人、不能簽發憑證。DigiCert 並稱已檢視 CA 與驗證活動日誌，未發現與該帳戶相關的驗證、簽發或撤銷操作。

外露資料類別（可核實）

多數：客戶商業聯絡資料——姓名、商業電郵、電話、商業地址。
少數客戶帳戶：額外個人資料，形式為客戶提交的文件，例如駕照、護照、水電費單或其他載有姓名與地址的文件。

DigiCert 在 Bugzilla 報告中未公布受影響個人或客戶的總人數；後續回覆指已按個案通知受影響客戶，並已向執法機構報告。媒體引述通知信指公司仍在覆核身分證明文件，以確定需另行通知的具體人士——因此「未收到通知」並不能單憑此點斷定文件未被讀取。

時間線（摘自官方完整報告）

二零二五年二月四日：基建遷移把該業務系統由僅限 VPN 的網段移至另一可用區，無意間令系統可從外網觸達；本供其他用途的帳戶自助註冊功能一併對外可用。經此途徑註冊的帳戶不走 DigiCert 一般要求的多重要素驗證（MFA），預設唯讀，但「未指派至任何應用」的帳戶仍可讀取歸檔資料。
二零二六年六月十八日：內部團隊發現非 DigiCert 帳戶；因帳戶未指派應用，審視者誤判為無資料存取權。系統改置於 Web 應用防火牆（WAF）後，阻擋經外網新增帳戶。
六月廿一日：受管理資安研究計劃報告提示外網可建立帳戶；六月廿四日核實。
六月廿七日至七月二日：其後調查界定的資料存取窗口；七月二日授權修補上線，終止未指派帳戶讀取歸檔，並堵住外網開戶路徑。當時 DigiCert 仍不知已有歸檔被讀。
七月九日：WAF 原則改為業務系統主機名原則上限 VPN（核准對外端點除外）。
八月廿八／卅一日：更新「內部工具網絡存取變更須資安簽核」政策；外部廠商完成滲透測試。
十月十二日：首次懷疑歸檔可能遭未授權存取並加開調查；十月十五至十七日加強檔案存取與請求量告警、重設業務系統用戶密碼、驗證未授權回傳 401。
十月十九日：確認部分歸檔遭存取，定性為須向瀏覽器根計劃報告的事件；十月二十日提交初步報告。
十月廿四至三十日：全面停用業務系統實例上的自助註冊；剩餘對外端點改私有 IP 負載平衡與內部主機名；掃描顯示已無可從外網觸達的業務系統端點；釐清安全姿勢擁有者並完成最小權限覆核。
約十一月六日：DigiCert 於缺陷追蹤回覆指已完成「確認無業務系統源站對外暴露」及「意外開戶／權限變更自動化告警」等餘下行動項。

二、技術原理深度解析

為何「遷移」會變成長期對外暴露面

根因並非單一 CVE，而是內部工具把「網絡位置」誤當成授權邊界。官方以「五個為什麼」歸納三項促成因素：

網絡可達性變更未經資安覆核：二零二五年二月遷移被當成基建變更，而非會改變攻擊面的安全變更，因而缺少更嚴格簽核。系統本不應對外，卻在可用區配置下變得可從互聯網觸達。
監控與告警不足：業務系統原設計經 VPN＋MFA 內訪；遷移後未重估監控。缺少針對「經對外端點新建帳戶」與「內部端點異常請求量」的應用層告警，令六月的開戶與讀取未能即時以「資料外洩」視角升級。
授權模型未設想自助註冊：帳戶管理器與其他客戶產品共用平台能力；自助註冊流程不帶 MFA。未指派應用的帳戶被誤以為「無資料權」，實則仍可唯讀歸檔——直到七月二日改為對無應用指派帳戶回傳 401。

與「憑證被偽簽」敘事的分界

公開金鑰基礎建設事故最令人憂慮的結局，是未授權者取得簽發、撤銷或驗證審批能力。DigiCert 此份合規報告的關鍵澄清正好相反：CA 系統位於獨立安全網段；該帳戶無權寫入、無權當驗證審批人、無權簽發；日誌亦未見相關 CA 操作。風險重心因此落在歸檔中的商業聯絡與少數身分證明文件，以及供應商通知、執法通報與客戶自身的社交工程／釣魚防範，而非「全網不信任 DigiCert 憑證」。

偵測滯後結構

六月十八日已見異常帳戶，七月二日已修授權，但直到十月十二日才懷疑「資料曾被讀」、十月十九日才確認並定調須報告。官方自評：事件初期被當成「開戶問題」而非「資料存取事件」。這對企業資安營運的啟示是：僅關閉開戶路徑並不足夠，還需要以檔案存取與請求量獨立告警，才能把「能開戶」升級成「是否讀過敏感歸檔」的調查。

三、日常應用場景

1. 開發者與技術團隊

盤點所有「只給員工用」的歸檔、工單、KYC／身分驗證附件庫是否仍可從公網解析；禁止把客戶產品的自助註冊或弱 MFA 流程複用到內部實例；對未指派角色／應用的權杖一律拒絕資料面。網絡分段變更必須觸發資安簽核與對外暴露掃描，而不是只走基建工單。

2. 企業與憑證採購／合規負責人

若貴司使用 DigiCert 作對外 TLS、程式碼簽署或客戶身分驗證附件上載，應查收 DigiCert 就本案發出的客戶通知，核對是否曾提交駕照、護照或住址證明。官方指活躍憑證無需因本案撤換；但外露的聯絡與身分文件應用於提高對「偽冒 DigiCert／憑證客服」釣魚的警覺，並納入第三方風險檔案。

3. 一般用戶

一般瀏覽網站的終端用戶，不會因為本案而需要手動不信任 DigiCert 根憑證。若你是曾向 DigiCert 提交身分證明的企業代表，則以官方通知為準，並留意非預期的電郵或電話。

4. 香港與亞洲市場視角

本地銀行、金融科技、電商與 SaaS 大量依賴商業 CA 作對外網站與 API 加密；同時《個人資料（私隱）條例》對身分證明影印本高度敏感。供應商把「驗證用附件」長期放在可被錯誤暴露的歸檔系統，是典型跨境供應鏈私隱風險。採購與資安條款應要求：內部歸檔與 CA 生產網段分離、禁止自助註冊進入內部實例、以及可驗證的對外暴露掃描與開戶告警——本案官方行動項清單正提供一套可對照的檢查表。

四、專業評價與潛在考量

優勢（可取之處）

以瀏覽器根計劃要求的合規缺陷渠道公開完整時間線、根因與行動項，便於獨立核對，而非只發含糊新聞稿。
清楚切割「歸檔被讀」與「CA 簽發鏈未失守」，降低不必要的憑證不信任恐慌。
補救具體：WAF／VPN 收斂、停用自助註冊、401 拒絕未指派帳戶、密碼重設、滲透測試、擁有者指名、最小權限與開戶告警。

需要留意的地方

從對外暴露（二零二五年二月）到確認資料存取（二零二六年十月）跨度長；「開戶事件」與「資料外洩」定性轉換過慢，是監測設計問題，不只是單一疏忽。
官方未在公開報告公布受影響人數；客戶與監管仍須依賴個案通知與後續根計劃跟進。
少數護照／駕照類文件一旦外露，後續風險在社交工程與身分盜用，難以用「憑證仍可信」一句話完全消解——企業應同步更新事件應變與員工驗證流程。

結語

DigiCert 這宗自報事故提醒我們：即使 CA 生產鏈未失守，內部歸檔與帳戶管理器的錯誤暴露，仍足以讓商業聯絡與身分證明進入未授權者之手。對香港企業而言，重點是把供應商通知納入第三方風險、收緊自身對「內部工具是否真的只在內網」的驗證，並假設遷移與雲可用區變更都會改寫攻擊面。若你的團隊正在檢視憑證供應鏈、雲端暴露面或身分與存取管控，可參考 YSK Limited 的香港雲端遷移與網絡安全服務，把網絡分段、對外掃描與敏感歸檔監控做成可驗證的工程項。

參考來源

DigiCert／Mozilla 根憑證合規缺陷追蹤（官方自報完整事故報告）：2084460 - DigiCert: Unauthorized access to business system
The Register 報道（新聞室核對，非一手）：DigiCert admits 16-month security lapse exposed customer information
SecurityWeek 報道（新聞室核對，非一手）：DigiCert Data Breach Impacts Business Customer Information