إكسيتيوم

في 23 مارس 2011، نشرت شركة كومودو تقريرًا يفيد بأنه قبل ثمانية أيام، وتحديدًا في 15 مارس 2011، تم اختراق حساب مستخدم تابع لهيئة تسجيل تابعة، واستُخدم لإنشاء حساب مستخدم جديد أصدر تسعة طلبات توقيع شهادات . ^{[ 17 ]} صدرت تسع شهادات لسبعة نطاقات. ^{[ 17 ]} رُبط الهجوم بعنوان IP 212.95.136.18، والذي مصدره طهران ، إيران. ^{[ 17 ]} قام موكسي مارلينسبايك بتحليل عنوان IP على موقعه الإلكتروني في اليوم التالي، ووجد أنه باللغة الإنجليزية ويعمل بنظام تشغيل ويندوز. ^{[ 18 ]} على الرغم من أن الشركة أفادت في البداية بأن الاختراق كان نتيجة "هجوم مدعوم من دولة"، إلا أنها ذكرت لاحقًا أن مصدر الهجوم قد يكون "نتيجة محاولة مهاجم تضليل المستخدمين". ^{[ 17 ] [ 19 ]} أشارت محاضرة موكسي في مؤتمر ديف كون إلى أن المهاجم ربما كان عديم الخبرة ويتبع دروسًا تعليمية عبر الإنترنت حول هجمات الوسيط . ^{[ 18 ]}

ألغت شركة كومودو جميع الشهادات المزيفة بعد وقت قصير من اكتشاف الاختراق. كما صرحت كومودو بأنها تبحث بنشاط عن سبل لتحسين أمن الشركات التابعة لها. ^{[ 20 ]}

في تحديث بتاريخ 31 مارس 2011، أفادت شركة كومودو بأنها رصدت وأحبطت محاولة اختراق لحساب مستخدم أحد الموزعين في 26 مارس 2011. وقد أدت الضوابط الجديدة التي طبقتها كومودو عقب الحادث الذي وقع في 15 مارس 2011 إلى إزالة أي خطر لإصدار شهادات احتيالية. وتعتقد كومودو أن الهجوم كان من نفس الجهة التي نفذت الهجوم في حادث 15 مارس 2011. ^{[ 21 ]}

وفيما يتعلق بالحادثة الثانية، صرحت شركة كومودو قائلة: "لم يتم اختراق بنيتنا التحتية لهيئة إصدار الشهادات. ولم يتم اختراق مفاتيحنا في وحدات أمان الأجهزة. ولم يتم إصدار أي شهادات بطريقة احتيالية. وقد فشلت محاولة الوصول الاحتيالي إلى منصة طلب الشهادات لإصدار شهادة." ^{[ 22 ]}

في 26 مارس 2011، أكد شخصٌ يُدعى "ComodoHacker" أنه المهاجم بنشره المفاتيح الخاصة على الإنترنت ^{[ 23 ]} ، ونشر سلسلة من الرسائل التي تُفصّل ضعف أمان شركة Comodo وتتباهى بقدراته. ^{[ 24 ] [ 25 ]} وقد شهدت شركة Comodo وبائع شهاداتها أربع عمليات اختراق على الأقل في ذلك العام. ^{[ 26 ]}

حتى عام 2016، لا تزال جميع الشهادات ملغاة. ^{[ 17 ]} أصدرت مايكروسوفت إشعارًا أمنيًا وتحديثًا لمعالجة المشكلة وقت وقوعها. ^{[ 27 ] [ 28 ]}

في عام 2009، اتهم مايكل بورغيس، أحد أبرز خبراء مايكروسوفت، شركة كومودو بإصدار شهادات رقمية لموزعي برامج خبيثة معروفين. ^{[ 29 ]} استجابت كومودو فور إخطارها وألغت الشهادات المذكورة، والتي كانت تُستخدم لتوقيع البرامج الخبيثة المعروفة. ^{[ 30 ]}

في أكتوبر 2015، تقدمت شركة كومودو بطلبات لتسجيل العلامات التجارية "Let's Encrypt" و"Comodo Let's Encrypt" و"Let's Encrypt with Comodo". ^{[ 31 ] [ 32 ] [ 33 ]} وقد قُدمت هذه الطلبات بعد مرور عام تقريبًا على بدء مجموعة أبحاث أمن الإنترنت، وهي المنظمة الأم لـ Let's Encrypt ، استخدام اسم Let's Encrypt علنًا في نوفمبر 2014، ^{[ 34 ]} وعلى الرغم من أن طلبات تسجيل العلامات التجارية المقدمة من كومودو تُقر بأنها لم تستخدم "Let's Encrypt" كعلامة تجارية قط.

في 24 يونيو 2016، نشرت شركة كومودو علنًا في منتداها أنها قدمت طلبًا "للتخلي الصريح" عن طلبات تسجيل علامتها التجارية. ^{[ 35 ]}

صرح روبن ألدن، كبير المسؤولين التقنيين في شركة كومودو، قائلاً: "قدمت كومودو طلبًا صريحًا للتنازل عن طلبات تسجيل العلامات التجارية في الوقت الحالي بدلاً من الانتظار والسماح لها بالانقضاء. وبفضل التعاون بين شركة Let's Encrypt وشركة كومودو، تم حل مشكلة العلامات التجارية، ونود أن نشكر فريق Let's Encrypt على مساعدتهم في التوصل إلى هذا الحل." ^{[ 36 ]}