DreamHost restablece contraseñas de email y FTP tras un incidente

DreamHost, proveedor estadounidense de alojamiento web y registrador de dominios, ha restablecido las contraseñas de una parte de los buzones de correo y de las cuentas FTP/SFTP de sus clientes tras un incidente que empezó el 23 de octubre de 2026. La empresa lo presenta como una medida de precaución, pero no ha explicado la causa ni cuántas cuentas están afectadas: BleepingComputer y SecurityWeek dicen haberlo preguntado sin obtener respuesta. Según los datos de la propia empresa citados por BleepingComputer, DreamHost da servicio a más de 400.000 clientes en más de 100 países.

Cronología

La reconstrucción se basa en las actualizaciones de DreamHost recogidas por Help Net Security, BleepingComputer y SecurityWeek:

• 23 de octubre, tarde: el equipo de operaciones informa de problemas de conexión con el File Manager, la interfaz web para gestionar los archivos de los sitios. Pocas horas después el incidente afecta a varios servicios: el File Manager (files.dreamhost.com) se desconecta y algunos usuarios del webmail pierden la sesión o reciben errores al entrar.
• 23 de octubre, noche: DreamHost comunica que el problema afecta también a los accesos FTP/SFTP y empieza a restablecer las contraseñas «de algunos usuarios de email y FTP/SFTP». Pide a los clientes que no cambien la contraseña por su cuenta antes de recibir las instrucciones, porque los cambios hechos durante el proceso se sobrescribirían.
• 24 de octubre: según Help Net Security, los restablecimientos han terminado.
• 24–25 de octubre: las instrucciones de recuperación se envían por lotes a los titulares de las cuentas; la noche del 25 DreamHost afirma haberlas mandado a todos los afectados.
• 26 de octubre: según SecurityWeek y Help Net Security, DreamHost ha desplegado una corrección y ha restablecido files.dreamhost.com, que sigue en observación. BleepingComputer, en su artículo del mismo día, daba el File Manager todavía como no disponible. Según Help Net Security, la página de estado sigue marcando como afectados el alojamiento de correo, el webmail y el File Manager.

Qué se sabe y qué no

No se han indicado CVE, software afectado ni una causa. Los datos técnicos disponibles proceden de las comunicaciones a los titulares de las cuentas:

• Quién sigue bloqueado: los usuarios de los buzones y cuentas FTP/SFTP afectados no pueden entrar hasta que el titular de la cuenta de DreamHost establezca credenciales nuevas. DreamHost afirma que no puede contactar directamente con cada usuario y pide a los titulares que los avisen por teléfono, SMS u otros canales: quien tiene el buzón bloqueado no recibe correo.
• Reglas de reenvío: según BleepingComputer, DreamHost pide revisar cada buzón en busca de reenvíos automáticos y eliminar los destinos desconocidos. Para el medio, la indicación sugiere que algunos buzones podrían haber sido comprometidos; DreamHost no lo ha confirmado. Un reenvío oculto permite seguir leyendo el correo incluso después de cambiar la contraseña (MITRE ATT&CK T1114.003, Email Forwarding Rule).
• Contraseñas reutilizadas: DreamHost pide cambiar la contraseña antigua también donde se haya usado en otros servicios (BleepingComputer y SecurityWeek). La reutilización convertiría un posible robo de credenciales en accesos con cuentas válidas en otros sitios (T1078).
• Phishing: en cada actualización DreamHost recuerda que nunca pide la contraseña por email y que las solicitudes de restablecimiento no pedidas pueden ignorarse (Help Net Security, SecurityWeek). Un restablecimiento masivo es un pretexto cómodo para correos falsos.

En Reddit algunos clientes se preguntan si las contraseñas se guardaban con un hash adecuado (SecurityWeek) o si hay relación con las recientes vulnerabilidades de PHP; según un cliente citado por Help Net Security, el chatbot de soporte descartó esa relación. Ninguna de estas hipótesis está confirmada.

Impacto para las empresas europeas e italianas

El alojamiento compartido con correo incluido es habitual entre pequeñas empresas, despachos profesionales y agencias web que gestionan sitios y buzones por cuenta de sus clientes. Los riesgos concretos:

• correo interrumpido hasta que el titular reparta las contraseñas nuevas: para una agencia con decenas de buzones de clientes, todo el trabajo de recuperación recae sobre ella;
• reenvíos ocultos en buzones posiblemente comprometidos: la base clásica del fraude en pagos (BEC) y del robo de correspondencia;
• archivos de los sitios accesibles por FTP/SFTP: ninguna fuente habla de cambios, pero quien tenga credenciales válidas puede subir archivos;
• RGPD y NIS2: quien usa buzones corporativos alojados sigue siendo responsable del tratamiento. Si las comprobaciones revelan accesos no autorizados a mensajes con datos personales, hay que valorar la notificación a la autoridad de control en 72 horas (artículo 33). Para las entidades NIS2 (en Italia, el Decreto Legislativo 138/2024) el episodio entra en la gestión del riesgo de proveedores: conviene documentar también los plazos y el detalle de la información recibida.

Qué hacer ya

Si usas DreamHost, también de forma indirecta a través de una agencia:

1. Revisa las comunicaciones en el panel y en el buzón del titular de la cuenta, incluida la carpeta de spam: algunos clientes cuentan que las recibieron con mucho retraso.
2. Establece contraseñas nuevas para cada buzón y cuenta FTP/SFTP indicados, largas y distintas entre sí, y entrégalas a los usuarios por un canal separado, no por email.
3. Revisa reenvíos y reglas de cada buzón: reenvíos a direcciones externas desconocidas, filtros que mueven o borran mensajes, respuestas automáticas modificadas.
4. Cambia las contraseñas reutilizadas en otros servicios, empezando por las de administración de sitios, CMS y servicios en la nube.
5. Comprueba los archivos de los sitios: compara los archivos modificados desde el 23 de octubre con la última copia de seguridad fiable y busca scripts PHP inesperados, sobre todo en las carpetas donde se pueden subir archivos.
6. Examina los registros disponibles de webmail y FTP/SFTP en busca de accesos desde direcciones o países inusuales durante los días del incidente.
7. Avisa a los usuarios del riesgo de phishing: ningún correo legítimo pide introducir la contraseña antigua.
8. Documenta todo (fechas, comunicaciones, comprobaciones) para la valoración del RGPD y, si procede, de NIS2, y pide a DreamHost por escrito la causa y los datos afectados.

Cómo ayuda ARXDOME

ARX Expose señala las cuentas corporativas implicadas en brechas conocidas y revisa la configuración del correo de tus dominios (SPF y DMARC): te ayuda a darte cuenta pronto si credenciales de la empresa empiezan a circular. ARX Horizon enriquece los eventos de los sistemas monitorizados con país, operador y listas de amenazas, para que los accesos desde orígenes sospechosos se reconozcan enseguida.

Última actualización: 27 de octubre de 2026