DreamHost : deux mois d'intrusion, des identifiants FTP/SFTP dérobés

DreamHost, hébergeur web et registraire de noms de domaine américain, a adressé une notification de violation de données à une partie de ses clients. BleepingComputer en a rendu compte le 4 novembre 2026. Ce courrier fait suite à une première annonce d’incident de cybersécurité, qui demandait déjà aux utilisateurs de réinitialiser leurs mots de passe de messagerie et FTP/SFTP. Les éléments qui suivent reposent sur cette seule source de presse, qui s’appuie sur la notification de l’hébergeur.

Une intrusion d’août au 23 octobre

D’après cette notification, un tiers non autorisé a accédé au serveur qui fait fonctionner le gestionnaire de fichiers web de DreamHost, files.dreamhost.com. Il a exploité une vulnérabilité de ce logiciel et a pu récupérer les noms d’utilisateur et les mots de passe FTP/SFTP des personnes qui s’y sont connectées entre août 2026 environ et le 23 octobre 2026, date à laquelle l’intrusion a été découverte.

L’attaquant a pu aussi accéder aux systèmes de webmail. Pour un nombre limité d’utilisateurs, des informations de session, identifiants compris, auraient ainsi été exposées. Selon DreamHost, l’attaque semble délibérée, et ses équipes travaillent sans interruption à la contenir entièrement.

Le nombre de comptes concernés n’a pas été communiqué. BleepingComputer précise avoir interrogé l’hébergeur à plusieurs reprises sur ce point, sans obtenir de réponse.

Ce que DreamHost dit avoir fait

L’hébergeur affirme avoir bloqué l’accès de l’attaquant et corrigé la vulnérabilité exploitée. Il a mis fin aux sessions actives des utilisateurs potentiellement touchés et invalidé leurs mots de passe. À ce stade, il dit n’avoir trouvé aucune trace d’un accès aux identifiants du panneau de contrôle, ni aux données de facturation et de paiement, qui sont gérées par un prestataire externe.

Les identifiants à changer

Si vous avez utilisé le gestionnaire de fichiers de DreamHost entre août et le 23 octobre 2026, considérez que vos identifiants FTP/SFTP sont connus d’un tiers. Votre ancien mot de passe a été invalidé : choisissez-en un nouveau, que vous n’utilisez nulle part ailleurs, puis mettez à jour les clients FTP, les scripts de déploiement et les outils d’intégration continue où l’ancien était enregistré.

Faites de même pour votre messagerie, dont la première annonce de DreamHost demandait déjà la réinitialisation du mot de passe.

Changez ensuite le mot de passe de tout autre compte sur lequel vous utilisiez les mêmes identifiants. C’est l’une des recommandations faites aux destinataires de la notification.

Ces destinataires se voient aussi proposer un an de surveillance de crédit et de protection contre l’usurpation d’identité, par l’intermédiaire d’Equifax. Ils sont invités à envisager une alerte à la fraude ou un gel de sécurité sur leur dossier de crédit.

Vérifier son hébergement

Changer un mot de passe ferme l’accès, mais n’annule pas ce qui a pu être modifié pendant qu’il était ouvert. DreamHost recommande deux vérifications.

La première porte sur les fichiers de vos sites. Recherchez les modifications que vous n’avez pas faites vous-même : fichiers ajoutés, scripts inconnus, pages altérées. Si votre site est versionné ou sauvegardé, comparez l’état actuel du serveur avec une copie antérieure au mois d’août, et examinez d’abord les fichiers modifiés pendant la période d’exposition.

La seconde concerne le webmail. Passez en revue les règles de transfert et les filtres de chaque boîte. Une redirection discrète vers une adresse externe, ou un filtre qui classe ou supprime certains messages, ne disparaît pas quand on change de mot de passe. Supprimez tout ce que vous n’avez pas créé.

On connaît désormais la période d’exposition, d’août au 23 octobre. On ne connaît toujours pas le nombre de personnes concernées.