DreamHost resetează parolele de email și FTP după un incident

DreamHost, furnizor american de găzduire web și registrar de domenii, a resetat parolele unei părți din căsuțele de email și din conturile FTP/SFTP ale clienților săi după un incident început pe 23 octombrie 2026. Compania vorbește despre o măsură de precauție, dar nu a explicat cauza și nici câte conturi sunt implicate: BleepingComputer și SecurityWeek scriu că au întrebat fără să primească răspuns. Potrivit datelor companiei citate de BleepingComputer, DreamHost deservește peste 400.000 de clienți din peste 100 de țări.

Cronologie

Reconstituirea se bazează pe actualizările DreamHost relatate de Help Net Security, BleepingComputer și SecurityWeek:

• 23 octombrie, după-amiaza: echipa de operațiuni semnalează probleme de conectare la File Manager, interfața web pentru gestionarea fișierelor site-urilor. Câteva ore mai târziu incidentul afectează mai multe servicii: File Manager (files.dreamhost.com) este scos offline, iar unii utilizatori ai webmail-ului sunt deconectați sau primesc erori la autentificare.
• 23 octombrie, seara: DreamHost anunță că problema privește și accesul FTP/SFTP și începe resetarea parolelor „pentru unii utilizatori de email și FTP/SFTP”. Cere clienților să nu își schimbe singuri parola înainte de a primi instrucțiunile, pentru că modificările făcute în timpul resetării ar fi suprascrise.
• 24 octombrie: potrivit Help Net Security, resetările sunt finalizate.
• 24–25 octombrie: instrucțiunile de recuperare sunt trimise pe loturi titularilor de conturi; în seara zilei de 25, DreamHost declară că le-a trimis tuturor celor afectați.
• 26 octombrie: potrivit SecurityWeek și Help Net Security, DreamHost a aplicat o corecție și a repus în funcțiune files.dreamhost.com, care rămâne sub observație. BleepingComputer, în articolul din aceeași zi, indica File Manager ca fiind încă indisponibil. Potrivit Help Net Security, pagina de stare marchează în continuare ca perturbate găzduirea de email, webmail-ul și File Manager.

Ce se știe și ce nu

Nu au fost indicate CVE-uri, software afectat sau o cauză. Detaliile tehnice disponibile provin din comunicările către titularii conturilor:

• Cine rămâne blocat: utilizatorii căsuțelor și conturilor FTP/SFTP afectate nu se pot autentifica până când titularul contului DreamHost nu setează credențiale noi. DreamHost declară că nu îi poate contacta direct pe utilizatori și le cere titularilor să îi anunțe prin telefon, SMS sau alte canale: cine are căsuța blocată nu primește email.
• Reguli de redirecționare: potrivit BleepingComputer, DreamHost cere verificarea fiecărei căsuțe pentru redirecționări automate și ștergerea destinațiilor necunoscute. Publicația observă că indicația sugerează că unele căsuțe ar fi putut fi compromise; DreamHost nu a confirmat. O redirecționare ascunsă permite citirea în continuare a corespondenței chiar și după schimbarea parolei (MITRE ATT&CK T1114.003, Email Forwarding Rule).
• Parole refolosite: DreamHost cere schimbarea vechii parole și acolo unde a fost folosită pe alte servicii (BleepingComputer și SecurityWeek). Refolosirea ar transforma un eventual furt de credențiale în accese cu conturi valide în alte locuri (T1078).
• Phishing: în fiecare actualizare DreamHost amintește că nu cere niciodată parola prin email și că solicitările de resetare necerute pot fi ignorate (Help Net Security, SecurityWeek). O resetare în masă este un pretext comod pentru emailuri false.

Pe Reddit unii clienți se întreabă dacă parolele erau stocate cu un hash adecvat (SecurityWeek) sau dacă există o legătură cu recentele vulnerabilități PHP; potrivit unui client citat de Help Net Security, chatbotul de suport a exclus această legătură. Niciuna dintre aceste ipoteze nu este confirmată.

Impactul pentru companiile europene și italiene

Găzduirea partajată cu email inclus este răspândită printre firmele mici, birourile de profesioniști și agențiile web care administrează site-uri și căsuțe în numele clienților. Riscurile concrete:

• email întrerupt până când titularul distribuie parolele noi: pentru o agenție cu zeci de căsuțe ale clienților, toată munca de recuperare îi revine ei;
• redirecționări ascunse în căsuțe posibil compromise: baza clasică pentru fraudele la plăți (BEC) și pentru furtul de corespondență;
• fișierele site-urilor, accesibile prin FTP/SFTP: nicio sursă nu vorbește despre modificări, dar cine are credențiale valide poate încărca fișiere;
• GDPR și NIS2: cine folosește căsuțe de firmă găzduite rămâne operator de date. Dacă verificările scot la iveală accese neautorizate la mesaje cu date personale, trebuie evaluată notificarea autorității de supraveghere în 72 de ore (articolul 33). Pentru entitățile NIS2 (în Italia, Decretul legislativ 138/2024) episodul ține de gestionarea riscului furnizorilor: merită documentate și termenele și nivelul de detaliu al informațiilor primite.

Ce trebuie făcut acum

Dacă folosești DreamHost, inclusiv indirect, printr-o agenție:

1. Verifică comunicările din panou și din căsuța titularului contului, inclusiv folderul spam: unii clienți spun că le-au primit cu mare întârziere.
2. Setează parole noi pentru fiecare căsuță și cont FTP/SFTP indicat, lungi și diferite între ele, și transmite-le utilizatorilor pe un canal separat, nu prin email.
3. Verifică redirecționările și regulile fiecărei căsuțe: redirecționări către adrese externe necunoscute, filtre care mută sau șterg mesaje, răspunsuri automate modificate.
4. Schimbă parolele refolosite în alte locuri, începând cu cele de administrare a site-urilor, CMS-urilor și serviciilor cloud.
5. Verifică fișierele site-urilor: compară fișierele modificate după 23 octombrie cu ultimul backup de încredere și caută scripturi PHP neașteptate, mai ales în folderele în care se pot încărca fișiere.
6. Examinează jurnalele disponibile de webmail și FTP/SFTP pentru autentificări din adrese sau țări neobișnuite în zilele incidentului.
7. Avertizează utilizatorii despre riscul de phishing: niciun email legitim nu cere introducerea vechii parole.
8. Documentează totul (date, comunicări, verificări) pentru evaluarea GDPR și, dacă e cazul, NIS2, și cere în scris de la DreamHost cauza și datele implicate.

Cum ajută ARXDOME

ARX Expose semnalează conturile companiei implicate în breșe cunoscute și verifică configurația de email a domeniilor tale (SPF și DMARC): te ajută să observi din timp dacă credențialele companiei încep să circule. ARX Horizon îmbogățește evenimentele sistemelor monitorizate cu țara, operatorul și listele de amenințări, astfel încât autentificările din surse suspecte să fie recunoscute imediat.

Ultima actualizare: 27 octombrie 2026