DreamHost confirma la brecha: dos meses robando contraseñas FTP y sesiones de webmail desde su gestor de archivos

DreamHost ha puesto por escrito el alcance de su brecha, y es peor que un simple reseteo de contraseñas. En la notificación formal presentada ante el fiscal general de California, el proveedor confirma que un tercero sin autorización accedió al servidor de su gestor de archivos web, en files.dreamhost.com, desde aproximadamente agosto de 2026 hasta el 23 de octubre, el día en que lo descubrió (BleepingComputer y TechCrunch, hoy, con declaraciones de la compañía).

La entrada fue una vulnerabilidad en el software de terceros que impulsa ese gestor de archivos. Por ahí, el intruso accedió a los nombres de usuario y contraseñas FTP/SFTP de quienes iniciaron sesión durante esos dos meses, y alcanzó ciertos sistemas de webmail, de donde obtuvo credenciales y tokens de sesión de un número limitado de usuarios. DreamHost admite que, en pocos casos, el atacante pudo ver el contenido de los buzones, y que contacta a esos clientes uno a uno.

La escala exacta sigue sin nombre. Una portavoz dijo a TechCrunch que los afectados son «muy por debajo del 10 %» de las cuentas, sin una cifra más precisa; la empresa presume de unos 400.000 clientes de pago, y BleepingComputer ha preguntado varias veces por el número sin respuesta. Lo que la compañía sí descarta, con la investigación abierta, es evidencia de acceso al panel de control o a los datos de pago, que gestiona un proveedor externo.

La respuesta empezó el mismo 23 de octubre: el gestor salió de servicio, se corrigió la vulnerabilidad, se restablecieron las contraseñas expuestas y se cerraron las sesiones activas. Después, DreamHost reconstruyó el gestor con más monitorización, contrató forenses externos y ofrece a los afectados un año de protección de identidad con Equifax. A los clientes les pide revisar los archivos de sus sitios en busca de cambios no reconocidos, repasar las reglas de reenvío del webmail y cambiar cualquier contraseña reutilizada.

Y quedan dos preguntas incómodas. La portavoz declinó explicar a TechCrunch por qué no se detectó el ataque hasta el 23 de octubre, amparándose en la investigación en curso, y tampoco ha identificado la vulnerabilidad: solo ha aclarado que no está relacionada con los fallos recientes del software PHP. DreamHost desveló el incidente el 29 de octubre, tras días de reseteos; lo nuevo de hoy es la confirmación de qué se llevaron —credenciales de archivos y de correo— y cuánto tiempo estuvieron dentro: casi dos meses.