DreamHost admite dois meses de invasão no File Manager

Corrigimos o registro. O item entrou como 'claimed/unverified' com o título de uma matéria como nome da vítima, e a data 2026-11-04 é a da reportagem do BleepingComputer, não a do incidente. Não existe alegação de ator: a fonte primária é a própria DreamHost, via comunicado público de 29/10 e carta de notificação protocolada na Califórnia em 02/11. Isso leva confiança a 'confirmed' e o veredito a 'real'.

O que a vítima admite: um terceiro não autorizado acessou o servidor do File Manager (files.dreamhost.com) e explorou uma vulnerabilidade no software que o executa. Com isso, obteve usuários e senhas FTP/SFTP de quem fez login nesse File Manager entre ~agosto e 23/10/2026. O invasor também alcançou sistemas de webmail e obteve credenciais/informações de sessão de 'um número limitado' de usuários. A DreamHost afirma não ter evidência de acesso a logins do painel de controle nem a dados de cobrança.

Há divergência de redação entre as fontes sobre o webmail. O BleepingComputer, citando a notificação, fala em 'informações de sessão, incluindo credenciais'. Uma análise secundária aponta que o texto do aviso cita 'credenciais de login'. O TechCrunch, citando o filing, fala em tokens de sessão. Para o defensor, a diferença importa: token de sessão roubado dispensa a senha e pode sobreviver a um reset, a menos que as sessões sejam encerradas. A DreamHost diz ter encerrado as sessões ativas e resetado as senhas em 23/10, mas só no dia da descoberta, não durante as dez semanas anteriores.

Sobre números: não há contagem oficial. O porta-voz disse ao TechCrunch que os afetados são 'bem abaixo de 10%' e não deu valor mais preciso. O mesmo texto menciona cerca de 400 mil clientes pagantes. Outra cobertura (GBHackers) aplica o 'abaixo de 10%' às contas de e-mail e FTP/SFTP hospedadas, não aos clientes. Os denominadores são diferentes e a vítima não esclareceu qual vale. Por isso verified_records fica nulo: uma fração não é uma contagem. A própria DreamHost avisa que os resets e as notificações preventivas alcançaram mais gente do que a investigação considera afetada, então ter recebido o aviso não prova exposição.

Onde a narrativa derrapa: a manchete do TechCrunch afirma que hackers 'roubaram' arquivos e caixas de entrada, e agregadores repetiram isso como fato. O que o aviso sustenta é acesso a credenciais e possibilidade de visualização de conteúdo. Não encontrei logs, análise de pesquisador independente ou admissão da DreamHost de que arquivos de clientes ou e-mails foram baixados. Também não há evidência pública de que as credenciais foram usadas para alterar sites. Isso pode existir, mas hoje é inferência.

Também é notável o que falta: a DreamHost não nomeou o software vulnerável, não deu CVE, não disse como o invasor ficou dez semanas sem ser detectado (o porta-voz recusou explicar, citando a investigação) e não disse se houve extorsão. O TechRadar registra que a empresa não falou da identidade dos invasores nem de extorsão. Nenhum grupo reivindicou o ataque nas fontes que encontrei. Atribuir a qualquer grupo seria especulação. A DreamHost afirma que o incidente não tem relação com as atualizações recentes do PHP.

O ritmo da comunicação merece registro. Em 23–26/10 o status page e a imprensa descreveram um 'incidente' com resets 'preventivos', sem causa nem menção a invasão. A declaração de acesso não autorizado veio em 29/10 e o filing na Califórnia em 02/11. A carta oferece 12 meses de monitoramento de crédito pela Equifax, o que parece desproporcional a um vazamento só de credenciais FTP. Isso sugere que a obrigação legal de notificar levou a empresa a tratar o evento sob a lei de notificação estadual. Não há confirmação de que dados pessoais além de credenciais foram expostos, e é uma leitura nossa sobre a escolha da carta, não declaração da empresa.

Clientes da DreamHost que usaram o File Manager entre ~agosto e 23/10/2026 devem tratar suas credenciais FTP/SFTP como comprometidas. Um número limitado de usuários de webmail teve credenciais ou sessões expostas, com possibilidade de leitura de mensagens. A DreamHost estima os afetados em 'bem abaixo de 10%' e se declara com cerca de 400 mil clientes pagantes. Houve indisponibilidade de e-mail e File Manager por dias, e donos de conta tiveram de redefinir senhas manualmente para cada usuário de e-mail/FTP. Sites e e-mail permaneceram no ar, segundo a empresa. Para quem hospeda sites, o risco prático é alteração de arquivos, backdoors, redirecionamento de e-mail e reuso de senha em outros serviços. A empresa diz não haver evidência de acesso ao painel nem a dados de pagamento.