DreamHostのファイルマネージャーが侵害され、顧客のWebサイトやWebメールアカウントへのアクセスに使われる認証情報が露出した。
ホスティングプロバイダーのDreamHostは、ブラウザベースのファイルマネージャーを動かすソフトウェアの脆弱性を攻撃者が悪用し、FTP/SFTPのユーザー名とパスワードに加えて、一部のWebメールユーザーの認証情報も露出したと確認した。DreamHostが侵入を発見したのは2026年10月23日で、認証情報が露出していた可能性のある期間は2026年8月ごろまでさかのぼる。
DreamHostは、露出した可能性のあるパスワードをリセットし、影響を受けたセッションを終了させた。ただし管理者は、攻撃者が機密ファイルにアクセスしたか、Webサイトのコンテンツを変更したか、非公開の通信を閲覧したかをなお確認する必要がある。
攻撃者によるDreamHostのファイルマネージャー悪用の手口
によると、DreamHostの10月29日付のセキュリティ開示攻撃者は、files.dreamhost.comのファイルマネージャーを動かすサードパーティー製ソフトウェアに存在した特定されていない脆弱性を悪用した。
影響を受けた期間中にこのツールへアクセスしたユーザーのFTP/SFTP認証情報が攻撃者に取得された。これらの認証情報により、アカウント権限によっては、ファイルへの不正アクセスや変更が可能になったおそれがある。Lenovo IDの認証に関わるDropboxの情報漏えいも同様に、アクセス制御が侵害されるとホスティングされたファイルが危険にさらされることを示した。
DreamHostへの侵入はWebメールシステムにも及んだ。限られた人数のユーザーのログイン認証情報が露出し、同社は一部のケースでメールボックスの内容が閲覧された可能性があるとみている。
によると、BleepingComputerが11月4日に報じた内容Webメールのセッション情報も露出した可能性がある。有効なセッショントークンがあれば、パスワードを再入力せずに不正アクセスを許してしまう可能性があり、このリスクはライブ認証トークンが関わったChainalysisの情報漏えいでも示されている。
DreamHostによると、影響を受けたのは同社がホスティングするメールアカウントとFTP/SFTPアカウントの10％未満で、正確な件数は公表していない。
同社は、コントロールパネルの認証情報や請求情報が侵害された証拠は見つからなかったとしている。
攻撃を発見した後、DreamHostはファイルマネージャーを無効化し、露出した可能性のあるパスワードをリセットして、影響を受けたセッションを終了させた。その後、追加のセキュリティ対策を施してサービスを再構築した。悪用された脆弱性は公表されていない。
影響を受けたホスティングアカウントのセキュリティチェック
DreamHostは脆弱性に対処したとしているが、影響を受けた組織は不正な活動がなかったか調査すべきだ。アカウント所有者は、ホスティングのコントロールパネルから影響を受けたユーザーの新しいパスワードを設定しなければならない。
mSecureの認証情報セキュリティインシデントは、パスワードのリセットだけに頼るのではなく、露出した可能性のある他の秘密情報も調べる必要性を浮き彫りにしている。
セキュリティチームは、次の対策を優先すべきだ。
- 認証情報をリセットし、セッションを確認する：露出した可能性のあるパスワードや使い回しのパスワードを変更し、保存済みの認証情報を更新して、影響を受けたセッションが無効化されていることを確認する。
- 活動を調査し、証拠を保全する：利用可能なアクセスログを調べて不審な接続やファイル変更を確認し、修復措置を取る前に関連する証拠を保全する。
- アカウントと権限を監査する：FTP/SFTPユーザー、SSHキー、Webメールの転送ルールを確認し、不正な追加や変更がないか調べる。
- 露出した可能性のある秘密情報をローテーションする：アクセス可能だった可能性のあるファイルに保存されていた場合は、データベースのパスワード、APIトークン、アプリケーションの認証情報を変更する。対応している場合は多要素認証を有効にする。
- Webサイトの完全性と復旧を確認する：ホスティングされたファイルを信頼できるバックアップと比較し、予期しない変更を調査して、復元手順をテストする。
- インシデント対応計画をテストする：認証情報が侵害されたシナリオを想定して訓練を行い、封じ込め、エスカレーション、通知、復旧のプロセスを検証する。
DreamHostは、自社のセキュリティ通知を装ったフィッシングメールについても顧客に注意を促した。管理者は、予期しないサインインリンクをたどるのではなく、ホスティングのコントロールパネルに直接アクセスすべきだ。
DreamHostの情報漏えい通知によると、対象となる影響を受けた個人には、Equifaxの個人情報盗難対策サービスが1年間提供される。
DreamHostは、影響を受けたアカウントの正確な数や、不正アクセスの全容を明らかにしていない。管理者は認証情報のリセットを確認し、Webサイトのファイルやメールボックスが侵害された可能性を調査すべきだ。
サイバーセキュリティ関連の最新ニュース：Microsoft 365のパスキーを狙うフィッシングキャンペーンは、攻撃者が認証フローを悪用して企業アカウントを侵害し、クラウドデータにアクセスできることを示している。