DreamHost: password di email e FTP azzerate dopo un incidente

DreamHost, fornitore statunitense di hosting web e registrar di domini, ha azzerato le password di una parte delle caselle email e degli account FTP/SFTP dei suoi clienti dopo un incidente iniziato il 23 ottobre 2026. L’azienda parla di misura precauzionale ma non ha spiegato la causa né quanti account siano coinvolti: BleepingComputer e SecurityWeek scrivono di averlo chiesto senza ricevere risposta. Secondo i dati della stessa azienda citati da BleepingComputer, DreamHost serve oltre 400.000 clienti in più di 100 paesi.

Cronologia

La ricostruzione si basa sugli aggiornamenti di DreamHost riportati da Help Net Security, BleepingComputer e SecurityWeek:

• 23 ottobre, pomeriggio: il team operativo segnala problemi di connessione con il File Manager, l’interfaccia web per gestire i file dei siti. Poche ore dopo l’incidente coinvolge più servizi: il File Manager (files.dreamhost.com) viene messo offline e alcuni utenti della webmail vengono disconnessi o ricevono errori all’accesso.
• 23 ottobre, sera: DreamHost comunica che il problema riguarda anche gli accessi FTP/SFTP e avvia il reset delle password «di alcuni utenti email e FTP/SFTP». Chiede ai clienti di non cambiare la password da soli prima di ricevere le istruzioni, perché le modifiche fatte durante il reset sarebbero state sovrascritte.
• 24 ottobre: secondo Help Net Security, i reset sono completati.
• 24–25 ottobre: le istruzioni di ripristino partono a gruppi verso i titolari degli account; la sera del 25 DreamHost dichiara di averle mandate a tutti quelli interessati.
• 26 ottobre: secondo SecurityWeek e Help Net Security, DreamHost ha distribuito una correzione e ripristinato files.dreamhost.com, che resta sotto osservazione. BleepingComputer, nel suo articolo dello stesso giorno, dava il File Manager ancora non disponibile. Secondo Help Net Security, la pagina di stato indica ancora come disturbati hosting email, webmail e File Manager.

Cosa si sa e cosa no

Non sono stati indicati CVE, software coinvolti o una causa. Gli elementi tecnici disponibili vengono dalle comunicazioni ai titolari degli account:

• Chi resta bloccato: gli utenti delle caselle e degli account FTP/SFTP interessati non possono accedere finché il titolare dell’account DreamHost non imposta nuove credenziali. DreamHost dichiara di non poter contattare direttamente i singoli utenti e chiede ai titolari di avvisarli per telefono, SMS o altri canali: chi ha la casella bloccata non riceve email.
• Regole di inoltro: secondo BleepingComputer, DreamHost chiede di controllare ogni casella alla ricerca di inoltri automatici e di eliminare le destinazioni sconosciute. Per la testata l’indicazione fa pensare che alcune caselle possano essere state violate; DreamHost non lo ha confermato. Un inoltro nascosto permette di continuare a leggere la posta anche dopo il cambio di password (MITRE ATT&CK T1114.003, Email Forwarding Rule).
• Password riusate: DreamHost chiede di cambiare la vecchia password anche dove fosse stata usata su altri servizi (BleepingComputer e SecurityWeek). Il riuso trasformerebbe un eventuale furto di credenziali in accessi con account validi altrove (T1078).
• Phishing: in ogni aggiornamento DreamHost ricorda che non chiede mai la password via email e che le richieste di reset non sollecitate vanno ignorate (Help Net Security, SecurityWeek). Un reset di massa è un pretesto comodo per email false.

Su Reddit alcuni clienti si chiedono se le password fossero conservate con un hash adeguato (SecurityWeek) o se ci sia un legame con le recenti vulnerabilità di PHP; secondo un cliente citato da Help Net Security, il chatbot del supporto ha escluso questo collegamento. Nessuna di queste ipotesi è confermata.

Impatto per le aziende europee e italiane

L’hosting condiviso con posta inclusa è diffuso tra piccole imprese, studi professionali e agenzie web che gestiscono siti e caselle per conto dei clienti. I rischi concreti:

• interruzione della posta finché il titolare non distribuisce le nuove password: per un’agenzia con decine di caselle di clienti il lavoro di ripristino è tutto a suo carico;
• inoltri nascosti in caselle eventualmente violate: la base classica per le frodi sui pagamenti (BEC) e per la sottrazione di corrispondenza;
• file dei siti raggiungibili via FTP/SFTP: nessuna fonte parla di modifiche, ma chi possiede credenziali valide può caricare file;
• GDPR e NIS2: chi usa caselle aziendali ospitate resta titolare del trattamento. Se le verifiche fanno emergere accessi non autorizzati a messaggi con dati personali, va valutata la notifica al Garante entro 72 ore (articolo 33). Per i soggetti NIS2 (in Italia il d.lgs. 138/2024) l’episodio rientra nella gestione del rischio dei fornitori: vanno documentati anche i tempi e il dettaglio delle informazioni ricevute.

Cosa fare subito

Se usi DreamHost, anche indirettamente tramite un’agenzia:

1. Controlla le comunicazioni nel pannello e nella casella del titolare dell’account, compresa la cartella spam: alcuni clienti riferiscono di averle ricevute con molto ritardo.
2. Imposta nuove password per ogni casella e account FTP/SFTP indicato, lunghe e diverse tra loro, e consegnale agli utenti su un canale separato, non via email.
3. Controlla inoltri e regole di ogni casella: inoltri verso indirizzi esterni sconosciuti, filtri che spostano o cancellano messaggi, risposte automatiche modificate.
4. Cambia le password riusate altrove, a partire da quelle di amministrazione di siti, CMS e servizi cloud.
5. Verifica i file dei siti: confronta i file modificati dal 23 ottobre con l’ultimo backup affidabile e cerca script PHP inattesi, soprattutto nelle cartelle in cui si possono caricare file.
6. Esamina i log disponibili di webmail e FTP/SFTP alla ricerca di accessi da indirizzi o paesi insoliti nei giorni dell’incidente.
7. Avvisa gli utenti del rischio di phishing: nessuna email legittima chiede di inserire la vecchia password.
8. Documenta tutto (date, comunicazioni, verifiche) per la valutazione GDPR ed eventualmente NIS2, e chiedi a DreamHost per iscritto causa e dati coinvolti.

Come aiuta ARXDOME

ARX Expose segnala gli account aziendali coinvolti in violazioni note e controlla la configurazione della posta dei tuoi domini (SPF e DMARC): aiuta ad accorgersi presto se credenziali aziendali finiscono in circolazione. ARX Horizon arricchisce gli eventi dei sistemi monitorati con paese, operatore e liste di minacce, così gli accessi da origini sospette si riconoscono subito.

Ultimo aggiornamento: 27 ottobre 2026