DreamHost conferma il furto di credenziali: l’attacco era iniziato ad agosto
La falla nel File Manager ha esposto credenziali FTP/SFTP e un numero limitato di caselle email. DreamHost ha scoperto l’attacco il 23 ottobre, mesi dopo il suo inizio.
Che succede
Dietro i problemi di accesso a posta e FTP di DreamHost c’era un’intrusione durata mesi. Il reporting di TechCrunch del 4 novembre e la notifica al regolatore californiano aggiungono una cronologia al comunicato del provider: l’attacco era iniziato ad agosto, mentre DreamHost dice di averlo scoperto il 23 ottobre.
Il punto d’ingresso era il File Manager, lo strumento nel browser con cui i clienti gestiscono i file dei siti. Una vulnerabilità nel software di terze parti ha permesso di accedere a nomi utente e password FTP/SFTP di chi lo aveva utilizzato nel periodo interessato. Gli aggressori hanno raggiunto anche alcuni sistemi di webmail, ottenendo le credenziali di un numero limitato di utenti. DreamHost ritiene che in pochi casi siano stati letti i contenuti delle caselle e sta contattando individualmente le persone coinvolte.
La risposta è stata togliere dal servizio il File Manager compromesso, correggere la falla, terminare le sessioni e reimpostare le password potenzialmente esposte. Il provider precisa che il reset precauzionale ha coinvolto anche utenti che l’indagine successiva non considera colpiti. Nel comunicato parla di una frazione ben inferiore al 10% degli account email e FTP/SFTP: non è una percentuale da applicare indistintamente a tutti i clienti.
Per gli account interessati, DreamHost chiede di trattare le credenziali come compromesse, cambiarle anche negli altri servizi in cui erano state riutilizzate e controllare file del sito, inoltri e filtri della posta. Le nuove password vanno impostate dal titolare nel pannello del provider. L’azienda dice di non aver trovato prove di accesso alle credenziali del pannello o ai dati di fatturazione e di aver escluso un collegamento con le recenti vulnerabilità PHP.
Resta aperta una domanda poco rassicurante per un servizio di hosting: perché l’attività iniziata ad agosto sia stata scoperta solo a fine ottobre. A TechCrunch il portavoce non ha dato una spiegazione, richiamando l’indagine ancora in corso.
Perché conta
Le password cambiate spiegavano il disservizio; le credenziali sottratte spiegano il rischio. Per chi affida siti e posta a DreamHost, il punto ora è capire che cosa gli aggressori hanno potuto raggiungere prima che gli accessi venissero chiusi.
Vuoi sapere di più su pillole come questa?