DigiCert espone documenti d’identità, MetaMask perde reward e Truffle scopre 1,4 milioni di chiavi API da revocare

📌 In sintesi

• DigiCert conferma una violazione dei dati personali. Una migrazione del febbraio 2025 ha esposto un sistema interno, consentendo l’accesso non autorizzato a informazioni aziendali e, in alcuni casi, documenti d’identità. I certificati digitali non risultano compromessi.
• MetaMask completa l’uscita precauzionale dei validator Ethereum coinvolti nell’incidente. L’azienda conferma che un attaccante ha deviato circa 0,385 ETH di ricompense, senza accedere ai fondi principali depositati in staking.
• Truffle Security avvia la revoca di 1,4 milioni di credenziali API individuate come funzionanti. Il programma coinvolge emittenti e fornitori cloud e affronta il problema delle chiavi esposte che continuano a consentire accessi per mesi o anni.

Tre incidenti e iniziative di sicurezza mostrano quanto la protezione delle identità digitali dipenda dalle infrastrutture che custodiscono informazioni, credenziali e autorizzazioni. Il 5 novembre 2026, DigiCert, una delle principali autorità di certificazione, conferma l’accesso non autorizzato a dati personali e documenti d’identità conservati nei propri archivi, conseguenza di una migrazione che aveva reso raggiungibile da Internet un sistema interno. Nello stesso giorno MetaMask aggiorna il bilancio del proprio incidente di settembre, riconoscendo la sottrazione di circa 0,385 ETH dalle ricompense dello staking, mentre Truffle Security presenta un programma per affrontare la diffusione di 1,4 milioni di chiavi API verificate come attive in repository, immagini container e dataset pubblici. I tre casi non sono collegati, ma evidenziano una criticità comune: sistemi e credenziali possono rimanere vulnerabili anche quando i meccanismi crittografici principali continuano a funzionare correttamente.

DigiCert, una migrazione del 2025 espone dati personali e documenti d’identità

DigiCert conferma una violazione che interessa una parte degli archivi contenenti informazioni dei propri clienti e dei loro rappresentanti aziendali. Il punto di origine dell’incidente risale al 4 febbraio 2025, quando una migrazione infrastrutturale trasferisce un sistema interno da una rete accessibile esclusivamente attraverso VPN a un ambiente involontariamente raggiungibile dall’esterno. Il problema emerge nel rapporto ufficiale DigiCert pubblicato su Mozilla Bugzilla, che ricostruisce una concatenazione di errori di configurazione e autorizzazione. Il sistema utilizzava un componente di gestione degli account dotato di una funzione di registrazione autonoma, prevista per altre applicazioni ma non per quell’ambiente interno. Gli utenti registrati attraverso tale funzione non erano sottoposti alla normale autenticazione multifattore e ricevevano privilegi di sola lettura che, per un difetto nei controlli, permettevano di consultare informazioni archiviate.

L’accesso ai dati viene successivamente ricostruito nel periodo compreso tra il 27 giugno e il 2 luglio 2026, mentre la conferma definitiva della violazione arriva soltanto il 19 ottobre. DigiCert aveva individuato account estranei già il 18 giugno, ma inizialmente aveva ritenuto che non potessero raggiungere i dati perché non associati ad alcuna applicazione. La classificazione iniziale dell’evento come problema di registrazione degli account, anziché come possibile compromissione delle informazioni, ritarda quindi l’identificazione del data breach. La vulnerabilità di autorizzazione viene corretta il 2 luglio, ma soltanto l’analisi successiva dei log consente di stabilire che alcune informazioni erano già state consultate.

Passaporti, patenti e indirizzi tra i dati coinvolti: i certificati restano sicuri

Le informazioni interessate comprendono nomi, indirizzi email aziendali, numeri telefonici e indirizzi delle organizzazioni. In una minoranza degli account coinvolti sono presenti anche documenti forniti per verificare l’identità dei rappresentanti dei clienti, tra cui passaporti, patenti di guida e bollette. Le comunicazioni inviate agli interessati, riprodotte da BleepingComputer, precisano che DigiCert sta ancora verificando quali persone abbiano avuto documenti d’identità effettivamente coinvolti. Il numero complessivo degli interessati non è stato comunicato pubblicamente.

DigiCert distingue l’esposizione dei dati personali dalla sicurezza delle proprie infrastrutture di certificazione. Secondo il rapporto, CertCentral, DigiCert ONE, i sistemi delle Certificate Authority, le credenziali di accesso dei clienti e i certificati già emessi non risultano compromessi. L’account non autorizzato non disponeva di permessi per modificare record, approvare verifiche o emettere certificati. Non emerge quindi una necessità generalizzata di sostituire i certificati digitali. La distinzione è importante anche rispetto ad altri incidenti che hanno interessato il settore, come il precedente caso CylindricalCanine e Golden Gh0st RAT legato a certificati di firma del codice, che presenta dinamiche e conseguenze differenti.

Truffle Security trova 1,4 milioni di chiavi API esposte e avvia un programma di revoca

Truffle Security lancia il Secrets Revocation Program, un’iniziativa che punta a revocare 1,4 milioni di chiavi API individuate come funzionanti durante le proprie attività di ricerca. Nel rapporto pubblicato il 4 novembre, i ricercatori spiegano che la semplice notifica dell’esposizione non produce risultati sufficienti: l’81% di 21.981 credenziali valide segnalate l’anno precedente risultava ancora utilizzabile dopo sei mesi. Il programma coinvolge aziende che emettono credenziali per servizi cloud, piattaforme di sviluppo e applicazioni, offrendo gratuitamente la possibilità di ricevere segnalazioni verificate e procedere alla disattivazione dei token.

La ricerca prende in considerazione GitHub, GitLab, Docker Hub, npm, PyPI, Hugging Face e altre fonti pubbliche. Soltanto a ottobre, Truffle Security dichiara di aver analizzato 6 petabyte di informazioni, superando i 20 petabyte nell’arco dell’anno. Attraverso TruffleHog, le credenziali individuate vengono sottoposte a verifiche per stabilire se siano ancora funzionanti. Gli emittenti aderenti possono gestire direttamente la revoca entro un termine previsto dal programma oppure mettere a disposizione un endpoint che consenta di automatizzarla. Tra i soggetti indicati figurano Vercel, Hugging Face, Twilio, Datadog, DigitalOcean, NVIDIA, Stripe e GitLab. L’avvio dell’iniziativa non significa che tutte le 1,4 milioni di credenziali siano già state disattivate.

Leggi anche: GitHub, 543.699 credenziali attive finiscono nei dataset usati per addestrare l’AI

Le credenziali sopravvivono nei dataset AI e gli agenti aumentano l’esposizione

Il rapporto approfondisce anche il ruolo degli agenti di intelligenza artificiale utilizzati per scrivere codice. Truffle Security afferma di aver individuato dal gennaio 2025 2.655 credenziali ancora attive in file di configurazione riconducibili a strumenti di programmazione AI, compresi file inseriti accidentalmente in immagini Docker pubbliche. Secondo la ricerca, nel maggio 2026 il 6,8% dei commit che esponevano una credenziale valida risultava firmato da un agente AI. Non significa che gli agenti siano responsabili della maggioranza delle fughe di segreti, ma evidenzia una nuova superficie di esposizione collegata alle procedure automatizzate di sviluppo e distribuzione software.

Particolarmente significativo è il confronto con le politiche di Google Cloud. Truffle Security rileva che risultava ancora funzionante il 72% delle chiavi di servizio esposte prima dell’introduzione della disattivazione automatica, contro l’11% delle chiavi pubblicate dopo il cambiamento di policy. I risultati si riferiscono ai campioni analizzati e mostrano l’efficacia della revoca automatizzata rispetto alla sola comunicazione dell’incidente. Il problema assume rilievo anche per le credenziali conservate nei dataset destinati all’AI: cancellare una chiave dal repository originale non significa eliminarla dalle copie già distribuite, mentre soltanto la revoca impedisce che continui ad autenticarsi.

MetaMask conferma il furto di 0,385 ETH dalle ricompense dei validator

MetaMask aggiorna il proprio rapporto sull’incidente di sicurezza del 28 settembre 2026, chiarendo che tutti i validator Ethereum interessati sono stati ritirati precauzionalmente dalle operazioni di staking. Nella comunicazione ufficiale aggiornata il 5 novembre, l’azienda precisa che un attaccante aveva ottenuto accesso non autorizzato a un’infrastruttura nella quale venivano conservati centralmente gli indirizzi destinati a ricevere le ricompense del livello di esecuzione. Modificando temporaneamente alcuni di questi indirizzi, l’attaccante è riuscito a deviare circa 0,385 ETH di reward. L’anomalia viene identificata e corretta nello stesso giorno.

La sottrazione riguarda le ricompense e non gli ETH principali depositati in staking. MetaMask afferma di non aver rilevato compromissioni delle chiavi di prelievo, delle Secret Recovery Phrase o dei wallet personali. Alcuni clienti hanno comunque sperimentato ritardi temporanei nei prelievi e possibili mancate ricompense durante l’uscita e l’eventuale riattivazione dei validator. L’azienda dichiara completate tutte le uscite previste e non richiede alcuna azione agli utenti dei normali wallet. Il nuovo aggiornamento completa la ricostruzione dell’incidente MetaMask e dell’uscita precauzionale dai validator già segnalata a ottobre, aggiungendo finalmente una quantificazione dell’importo effettivamente deviato.

La sicurezza digitale dipende anche dalle autorizzazioni e dalla revoca delle credenziali

I tre casi dimostrano che la protezione delle informazioni non coincide con la sola robustezza degli algoritmi crittografici. DigiCert mantiene integri i certificati ma espone dati personali attraverso un errore di configurazione; MetaMask conserva le chiavi di prelievo ma subisce la modifica degli indirizzi utilizzati per distribuire le ricompense; Truffle Security trova credenziali valide che continuano a funzionare nonostante siano pubblicamente accessibili. La debolezza comune riguarda quindi la gestione delle identità, dei privilegi e delle autorizzazioni nelle infrastrutture operative.

La protezione richiede controlli continui sulle modifiche delle configurazioni, segregazione degli ambienti, verifica dei privilegi effettivi e procedure di revoca tempestive. Nel caso delle API, la capacità di disattivare una chiave esposta può essere più importante della rapidità con cui viene individuata. Per i fornitori di servizi digitali, invece, l’esistenza di sistemi principali protetti non esclude la possibilità che archivi, componenti amministrativi e strumenti di supporto diventino punti di accesso a informazioni sensibili. La fiducia digitale dipende dall’intera infrastruttura, non soltanto dalla parte che utilizza la crittografia più avanzata.

Continua con:

GhostAction travolge GitHub: 1.900 account e 30.000 repository nel mirino

eMudhra, otto chiavi CA prevedibili mettono a rischio la fiducia HTTPS