DreamHost сообщил о краже файлов и почты клиентов в ходе атаки

Хостинг-провайдер DreamHost подтвердил многомесячную кибератаку, в результате которой злоумышленники получили доступ к файлам клиентов, электронным письмам и учетным данным. Атака началась в августе, а число затронутых пользователей, по оценке компании, составляет значительно менее 10% от примерно 400 тысяч платных клиентов сети.

О раскрытии инцидента DreamHost сообщил после многодневного сбоя на прошлой неделе. В этот период компания сбросила пароли части клиентов. Уведомление о нарушении безопасности было направлено генеральному прокурору Калифорнии.

Как злоумышленники получили доступ

DreamHost заявил, что атакующие использовали нераскрытую уязвимость в файловом менеджере. Этот инструмент клиенты применяют для хранения и управления файлами на хостинге.

В ходе атаки злоумышленники завладели токенами сессий. Такие токены поддерживают авторизованное состояние после ввода пароля. Их кража может позволить войти в систему от имени пользователя без повторного ввода его пароля.

Представитель DreamHost не уточнил, в чем состояла уязвимость, и отказался объяснять, почему атаку не обнаружили раньше, сославшись на продолжающееся расследование. Компания также подчеркнула, что инцидент не связан с недавно обнаруженными уязвимостями в веб-программном обеспечении PHP.

Что важно проверить клиентам

Компания не назвала точное количество пострадавших и не раскрыла, какие именно данные были затронуты у каждого клиента. Формулировка о доле менее 10% не означает, что риск ограничен только паролями: среди похищенных данных названы файлы, почта и учетные данные.

Клиентам DreamHost имеет смысл проверить уведомления провайдера, сменить пароли и отозвать активные сеансы там, где это доступно. Отдельного внимания требуют содержимое почтовых ящиков и файлы, которые могли содержать ключи, конфигурации или другие данные доступа.

Для компаний, использующих хостинг в рабочих процессах, инцидент показывает важность контроля сессий наряду с защитой паролей. После подобных уведомлений стоит проверить доступы к связанным сервисам и включить многофакторную аутентификацию везде, где ее поддерживает используемая инфраструктура.