Ein Einbruch in den File Manager von DreamHost legte Zugangsdaten offen, die für den Zugriff auf Kundenwebsites und Webmail-Konten verwendet wurden.
Der Hosting-Anbieter bestätigte, dass ein Angreifer eine Schwachstelle in seinem browserbasierten File Manager ausgenutzt und dabei FTP/SFTP-Benutzernamen und -Passwörter sowie die Zugangsdaten einiger Webmail-Nutzer offengelegt hat. DreamHost entdeckte den Angriff am 23. Oktober 2026; der mögliche Zeitraum der Offenlegung von Zugangsdaten reicht ungefähr bis August 2026 zurück.
DreamHost hat potenziell offengelegte Passwörter zurückgesetzt und betroffene Sitzungen beendet. Administratoren müssen jedoch weiterhin feststellen, ob Angreifer auf sensible Dateien zugegriffen, Website-Inhalte verändert oder private Kommunikation eingesehen haben.
So nutzten Angreifer den File Manager von DreamHost aus
Laut der Sicherheitsmitteilung von DreamHost vom 29. Oktobernutzte der Angreifer eine nicht näher bezeichnete Schwachstelle in Drittanbieter-Software aus, die den File Manager unter files.dreamhost.com betreibt.
Der Angreifer erlangte FTP/SFTP-Zugangsdaten von Nutzern, die während des betroffenen Zeitraums auf das Tool zugegriffen hatten. Diese Zugangsdaten konnten je nach Kontoberechtigungen unbefugten Zugriff auf Dateien oder deren Änderung ermöglichen. Eine Dropbox-Datenschutzverletzung im Zusammenhang mit der Lenovo-ID-Authentifizierungzeigte ebenfalls, wie kompromittierte Zugriffskontrollen gehostete Dateien gefährden können.
Der DreamHost-Angriff erreichte auch Webmail-Systeme. Die Zugangsdaten einer begrenzten Zahl von Nutzern wurden offengelegt, und das Unternehmen geht davon aus, dass in einigen Fällen möglicherweise Inhalte von Postfächern eingesehen wurden.
Laut dem Bericht von BleepingComputer vom 4. Novemberkönnten auch Informationen zu Webmail-Sitzungen offengelegt worden sein. Gültige Sitzungstoken können möglicherweise unbefugten Zugriff ermöglichen, ohne dass Passwörter erneut eingegeben werden müssen – ein Risiko, das auch die Chainalysis-Datenschutzverletzung im Zusammenhang mit aktiven Authentifizierungstokenverdeutlicht.
DreamHost schätzt, dass deutlich weniger als 10 % seiner gehosteten E-Mail- und FTP/SFTP-Konten betroffen waren. Eine genaue Zahl hat das Unternehmen nicht veröffentlicht.
Das Unternehmen fand keine Hinweise auf kompromittierte Zugangsdaten für das Control Panel oder auf offengelegte Abrechnungsinformationen.
Nach der Entdeckung des Angriffs deaktivierte DreamHost den File Manager, setzte potenziell offengelegte Passwörter zurück und beendete betroffene Sitzungen. Anschließend baute das Unternehmen den Dienst mit zusätzlichen Sicherheitskontrollen neu auf. Die ausgenutzte Schwachstelle wurde bislang nicht öffentlich identifiziert.
Sicherheitsprüfungen für betroffene Hosting-Konten
Obwohl DreamHost angibt, die Schwachstelle behoben zu haben, sollten betroffene Unternehmen mögliche unbefugte Aktivitäten untersuchen. Kontoinhaber müssen über das Hosting-Control-Panel Ersatzpasswörter für betroffene Nutzer festlegen.
Der Sicherheitsvorfall bei mSecure im Zusammenhang mit Zugangsdatenunterstreicht, dass auch andere möglicherweise offengelegte Geheimnisse überprüft werden müssen, statt sich ausschließlich auf das Zurücksetzen von Passwörtern zu verlassen.
Sicherheitsteams sollten diese Maßnahmen priorisieren:
- Zugangsdaten zurücksetzen und Sitzungen verifizieren: Potenziell offengelegte oder wiederverwendete Passwörter ersetzen, gespeicherte Zugangsdaten aktualisieren und bestätigen, dass betroffene Sitzungen ungültig gemacht wurden.
- Aktivitäten untersuchen und Beweise sichern: Verfügbare Zugriffsprotokolle auf verdächtige Verbindungen oder Dateiänderungen prüfen und relevante Beweise vor der Behebung des Problems sichern.
- Konten und Berechtigungen prüfen: FTP/SFTP-Nutzer, SSH-Schlüssel und Webmail-Weiterleitungsregeln auf unbefugte Ergänzungen oder Änderungen prüfen.
- Potenziell offengelegte Geheimnisse austauschen: Datenbankpasswörter, API-Token und Anwendungszugangsdaten ersetzen, wenn sie in möglicherweise zugänglichen Dateien gespeichert waren. Wo unterstützt, eine Multifaktor-Authentifizierung aktivieren.
- Integrität und Wiederherstellung der Website überprüfen: Gehostete Dateien mit vertrauenswürdigen Backups vergleichen, unerwartete Änderungen untersuchen und Wiederherstellungsverfahren testen.
- Pläne zur Reaktion auf Sicherheitsvorfälle testen: Szenarien mit kompromittierten Zugangsdaten durchspielen und Prozesse für Eindämmung, Eskalation, Benachrichtigung und Wiederherstellung validieren.
DreamHost warnte Kunden außerdem vor Phishing-E-Mails, die seine Sicherheitsbenachrichtigungen imitieren. Administratoren sollten direkt auf das Hosting-Control-Panel zugreifen, statt unerwarteten Anmeldelinks zu folgen.
Laut den Benachrichtigungen von DreamHost über die Datenschutzverletzung wird betroffenen berechtigten Personen ein einjähriger Schutz vor Identitätsdiebstahl von Equifax angeboten.
DreamHost hat weder die genaue Zahl der betroffenen Konten noch das vollständige Ausmaß des unbefugten Zugriffs bekannt gegeben. Administratoren sollten die Zurücksetzung der Zugangsdaten überprüfen und eine mögliche Kompromittierung von Website-Dateien oder Postfächern untersuchen.
Eine Phishing-Kampagne mit Passkeys für Microsoft 365zeigt, wie Angreifer Authentifizierungsabläufe ausnutzen können, um Geschäftskonten zu kompromittieren und auf Cloud-Daten zuzugreifen.