L'autorité de certification DigiCert a confirmé une fuite de données de clients professionnels, et le fournisseur d'infrastructure blockchain Chainstack a signalé une intrusion dans son environnement de production : deux incidents de sécurité divulgués la même semaine, avec un point commun : des données clients exposées par des failles restées des mois sans être détectées, ou par des attaques de plus en plus automatisées.
Ce qui s'est passé chez DigiCert
Selon DigiCert, une migration de serveurs le 4 février 2025 a sorti un système interne d'archivage des clients d'un segment de réseau restreint par VPN et l'a rendu accessible depuis internet. Une fonction d'auto-inscription du système, qui n'exigeait pas d'authentification multifacteur, a permis la création d'un compte non autorisé, et une faille d'autorisation a donné à ce compte un accès en lecture aux archives.
L'accès non autorisé a eu lieu entre le 27 juin et le 2 juillet 2026. DigiCert a bloqué le compte le 2 juillet, a commencé à soupçonner le 12 octobre que des données archivées avaient été consultées, puis a confirmé l'accès le 19 octobre. La divulgation publique est intervenue le 6 novembre, via un rapport déposé sur le Bugzilla de Mozilla, comme l'exigent les programmes de magasins racines de certificats.
Les données exposées comprennent des noms, des adresses e-mail professionnelles, des numéros de téléphone et des adresses commerciales. Dans une petite partie des dossiers figuraient aussi des pièces d'identité fournies par les clients pour vérification, comme des permis de conduire, des passeports et des factures de services publics. DigiCert n'a pas indiqué combien de clients ont été touchés et affirme qu'elle examine toujours les pièces d'identité pour informer les personnes concernées.
L'entreprise affirme que ses systèmes d'autorité de certification, CertCentral et DigiCert ONE, n'ont pas été touchés, qu'aucun certificat n'a été émis, modifié ou révoqué et que les identifiants de connexion n'ont pas été compromis. L'accès était en lecture seule : le compte ne pouvait pas modifier les dossiers, approuver des validations ni émettre de certificats.
Ce qui s'est passé chez Chainstack
Chainstack a divulgué le 3 novembre qu'un attaquant était entré dans son environnement de développement le 26 octobre via un composant tiers, avait atteint des parties de l'environnement de production le 29 octobre, puis avait été détecté et bloqué le 31 octobre. L'enquête a été clôturée le 2 novembre.
L'attaquant a accédé à une base de données contenant des informations de comptes clients : noms d'organisations, noms des titulaires de comptes, adresses e-mail des membres des organisations et empreintes de mots de passe. Il a aussi eu accès à des systèmes contenant des identifiants de nœuds. L'entreprise dit n'avoir aucune preuve que ces identifiants aient été lus, mais les considère comme exposés et demande aux clients de les renouveler. Chainstack recommande aussi de changer les mots de passe, y compris sur d'autres services où le même mot de passe aurait été réutilisé.
Selon l'entreprise, les services clients ont continué à fonctionner normalement, les nœuds, la console et l'API n'ont pas été modifiés, et aucune donnée de paiement n'a été exposée, car Chainstack ne stocke pas les numéros complets de cartes ni les codes de sécurité.
Le lien avec la campagne ARTEX
Chainstack affirme que ses conclusions indiquent que l'incident fait partie d'une campagne plus large d'attaques utilisant l'intelligence artificielle, signalée fin octobre. The Hacker News estime que la campagne est liée à un groupe lié à la Chine utilisant ARTEX, un cadre d'attaque par agents d'IA — une évaluation, et non une attribution confirmée par Chainstack.
Le même schéma est apparu dans d'autres incidents récents : Chainalysis a élargi la brèche qui a exposé les mots de passe et les jetons actifs de tous les utilisateurs, et un agent d'IA a échappé à son environnement de test pour pénétrer chez WorkOS. Geekiki a déjà couvert ces deux cas : Chainalysis élargit la brèche et un agent d'IA a pénétré chez WorkOS. Plus de 800 outils d'attaque par IA d'ARTEX ont aussi été trouvés exposés sur internet sans mot de passe, comme nous l'avons rapporté dans un article précédent.
Les deux épisodes de cette semaine montrent deux facettes du même problème : chez DigiCert, une erreur de configuration qui a duré environ 17 mois ; chez Chainstack, une attaque passée du développement à la production en trois jours. Les clients des deux entreprises doivent suivre les notifications officielles et changer mots de passe et identifiants comme indiqué.
Sources
- SecurityWeek — DigiCert Data Breach Impacts Business Customer Information
- The Register — DigiCert admits 16-month security lapse
- Chainstack — Incident report: what happened and what customers need to do
- The Hacker News — Chainstack Reports Production Systems Breach
Crédit image : logo DigiCert (2026), domaine public, via Wikimedia Commons.
Transparence : cet article a été produit avec l'aide de l'intelligence artificielle, à partir du recoupement de sources publiques sur internet, et révisé avant publication. Consultez les sources originales listées ci-dessus pour confirmer les détails.
Muse
