Взлом DreamHost: чужие пароли, чужая почта

Популярный хостинг-провайдер DreamHost подтвердил кибератаку: злоумышленники получили учетные данные для входа в аккаунты хостинга некоторых клиентов, а также доступ к отдельным почтовым ящикам. Компания заявила, что расследует инцидент и усиливает защиту систем.

Согласно уведомлению, направленному пострадавшим организациям, примерно за две недели до его составления DreamHost обнаружила несанкционированный доступ к серверу, на котором работает веб-файловый менеджер files.DreamHost.com. По данным компании, доступ к менеджеру был скомпрометирован в августе 2026 года: атакующие воспользовались уязвимостью в программном обеспечении. DreamHost не раскрыла подробности о ней.

Уязвимость позволила злоумышленникам получить имена пользователей и пароли FTP/SFTP тех, кто в тот момент был авторизован. FTP и SFTP — способы передачи файлов между компьютером пользователя и сервером; SFTP передает данные с шифрованием. Кроме того, атакующие добрались до некоторых систем веб-почты и получили данные сеансов, в том числе учетные данные, у ограниченного числа пользователей.

Если преступникам достались пароли, информацию в файловом менеджере и веб-почте следует считать потенциально раскрытой. Доступ к почте может позволить рассылать спам и фишинговые письма или проводить BEC-атаки — мошенничество с деловой перепиской, когда злоумышленник выдает себя за партнера или руководителя и добивается перевода денег либо передачи данных. Такие атаки бывает трудно распознать.

DreamHost не назвала предполагаемых нападавших и не сообщила, требовали ли они выкуп. Компания заявила лишь, что считает произошедшее целенаправленной атакой, а ее специалисты работали над сдерживанием угрозы круглосуточно.

Расследование продолжается, поэтому выводы пока предварительные. На данный момент DreamHost не обнаружила признаков доступа к учетным данным для входа в панель управления или к платежным сведениям клиентов. Компания, как сообщается, не хранит полные номера банковских карт, а сохраняет защищенный токен — заменитель карточных данных, который нельзя использовать для покупок в других местах. DreamHost пообещала сообщить о существенных новых выводах.

В ответ на атаку компания остановила дальнейший доступ злоумышленников и устранила использованную уязвимость. Активные сеансы пользователей, которые могли пострадать, завершили, а их пароли сбросили. Если при попытке войти в аккаунт DreamHost пользователь обнаружит, что пароль изменен, компания советует считать его данные затронутыми инцидентом. Провайдер также сообщил о дополнительных мерах безопасности, не уточнив, в чем именно они заключаются.

DreamHost привлекла внешних юристов, специалистов по безопасности и экспертов-криминалистов. Клиентам рекомендовали проверять банковские выписки, сообщать полиции о подозрительных операциях, следить за отчетами по кредитной истории и установить предупреждение о возможном мошенничестве. Пострадавшим также предложили на год бесплатный мониторинг кредитных отчетов и защиту от кражи личности через Equifax — подобная компенсация часто предлагается после утечек данных.

Пока ни одна группа злоумышленников не заявила об ответственности за атаку, а похищенные данные, по имеющейся информации, не появились в даркнете — скрытой части интернета, где, среди прочего, торгуют украденной информацией.

Это не первый инцидент кибербезопасности в истории DreamHost. В 2012 году атакующие получили доступ к одному из серверов баз данных компании, из-за чего могли раскрыться пароли клиентов для доступа к FTB и командной оболочке сервера. DreamHost сбросила затронутые пароли и сообщила, что не обнаружила признаков масштабной вредоносной активности в аккаунтах. В 2017 году компания столкнулась с крупной DDoS-атакой на DNS-инфраструктуру: поток искусственных запросов вызвал перебои с доступом у многих клиентов. Источник исходного сообщения — BleepingComputer.