印度資訊科技服務商 eMudhra 證實，其全球傳輸層安全（TLS）憑證業務發生重大資安事件，八張中間憑證簽發機構（CA）所使用的一組弱密鑰被公開載入瀏覽器根目錄。事件源於 2025 年 4 月 30 日的產金典禮：公司除產生預定金鑰外，因流程瑕疵同時產生強度不足的第二組金鑰，並將後者發布至公開根目錄。獨立研究者於 2026 年 10 月 17 日通報後，Google、Mozilla、Apple及微軟先後封鎖受影響憑證，公司隨即撤銷相關證書。
Google 宣布自 10 月 27 日起移除 emSign ECC Root CA–G3；印度電子與資訊科技部已組成專案小組調查。eMudhra 10 月 22 日宣布退出全球 SSL/TLS 憑證市場，回歸企業解決方案與其他信任服務。受此消息拖累，股價五個交易日重挫 43%，較 9 月高點下跌 53%，10 月 26 日盤中再跌 10%至 318 盧比，創下 52 週新低。
這起事件表面是單一企業的技術操作疏漏，實質上是一場圍繞「數位信任」與市場准入權的結構性危機。TLS 憑證業的商業模式建立在極高信任門檻之上：瀏覽器根目錄掌握最終信任權，憑證簽發機構則仰賴根目錄背書取得企業與政府客戶。即使弱金鑰未被證實遭到利用，任何未知的曝露期間都可能形成尾端風險，公司面對的已不是單純修補程式，而是整條客戶遷移與監管責任鏈。
類似事件顯示，數位憑證業的核心並非「有沒有遭駭」，而是企業能否證明其金鑰產生、保管與發布流程值得根目錄持續信任。eMudhra 主動退出全球 TLS 市場，是快速止血，也是一項代價高昂的治理選擇；未來影響將取決於專案小組調查結果、客戶遷移完成度，以及台灣、美歐及印度監管機關是否同步收緊要求。
01 起因觸發：2025年產金典禮產生弱金鑰，2026年獨立研究者通報後遭根目錄封鎖
02 一階傳導：八張中間CA憑證遭撤銷，eMudhra退出全球TLS憑證業務並進行客戶遷移
03 二階擴散：印度專案調查、ICRA風險警示，以及全球瀏覽器強化中間CA技術稽核
04 宏觀終局：數位憑證產業向具備跨區備援、透明稽核與龐大資本能力的大型業者集中
領域延伸情報推薦 相關延伸研讀
依主題領域自動關聯之高參考價值外電情報
ACLED 地緣衝突與安全熱區監測
MODERATE (區域摩擦)監測熱區：南亞與印太邊界 (South Asia & Border Security)（克什米爾 · 開柏爾-普赫圖赫瓦 · 印中邊界）
📡 區域安全態勢評估： 開柏爾走廊武裝襲擊活躍度攀升，巴基斯坦與阿富汗塔利班邊界摩擦牽動中巴經濟走廊 (CPEC) 安全。
