לפי DigiCert, נחשפו שמות, כתובות אימייל עסקיות, מספרי טלפון וכתובות עסקיות של חלק קטן מהלקוחות, ובחלק מהרשומות גם מסמכי זיהוי, כמו רישיון נהיגה, דרכון או חשבון שירות. החברה עדיין בודקת את מסמכי הזיהוי כדי לקבוע מי נפגע, ותודיע להם בסיום הבדיקה.
לפי דוח האירוע שפרסמה DigiCert ב-Bugzilla של מוזילה, העברת שרתים בפברואר 2025 חשפה לאינטרנט מערכת עסקית שהייתה נגישה קודם רק דרך VPN. במערכת הייתה אפשרות להירשם עצמאית, ופגם בהרשאות אפשר לחשבונות חיצוניים לקרוא נתונים מהארכיון. החברה גילתה חשבונות לא מורשים ביוני 2026, אבל רק ב-19 באוקטובר אישרה שחשבון כזה ניגש למידע לקוחות בין 27 ביוני ל-2 ביולי.
לפי החברה, לחשבון הייתה הרשאת קריאה בלבד, והוא לא יכול היה לשנות רשומות, לאשר אימותים או להנפיק אישורים. שירותי רשות האישורים, CertCentral ו-DigiCert ONE לא נפרצו, ופרטי הכניסה של הלקוחות והאישורים שהונפקו בטוחים. DigiCert ביטלה את ההרשמה העצמאית והוסיפה בקרות גישה. מי שקיבל הודעה צריך להיזהר במיוחד מהודעות דיוג שמשתמשות בפרטיו.