DreamHost a confirmat un incident de securitate în care atacatorii au accesat platforma File Manager timp de aproximativ două luni, între august 2026 și 23 octombrie 2026, și au obținut credențiale FTP/SFTP, plus sesiuni de webmail pentru un număr limitat de utilizatori. Compania spune că a blocat accesul și a remediat vulnerabilitatea, dar nu a publicat numărul exact de conturi afectate. Anunțul vine după o notificare anterioară prin care furnizorul cerea resetarea parolelor de email și FTP/SFTP, iar ancheta jurnalistică a BleepingComputer notează că întrebările despre amploarea incidentului au rămas fără răspuns.

Ce s-a întâmplat, concret, potrivit notificării

Faptele confirmate de DreamHost sunt relativ clare și merită separate de interpretări. Un terț neautorizat a accesat serverul care rulează File Manager-ul web la files.dreamhost.com. A exploatat o vulnerabilitate în acel software. Prin această breșă a ajuns la numele de utilizator și parolele FTP/SFTP ale persoanelor care s-au autentificat în File Manager în intervalul aproximativ august 2026 - 23 octombrie 2026. Compania a descoperit incidentul pe 23 octombrie 2026 și a continuat investigația.

În plus, DreamHost afirmă că intrusul ar fi putut accesa și sistemele de webmail, expunând informații de sesiune, inclusiv credențiale, pentru un număr limitat de utilizatori. Compania descrie atacul ca fiind deliberat și spune că echipa a lucrat fără oprire la limitarea impactului.

Ce nu s-a compromis, potrivit furnizorului: nu există dovezi că atacatorul a accesat date de autentificare în panoul de control sau informații de facturare și plată, care sunt gestionate de un procesator extern. DreamHost spune că a blocat accesul atacatorilor, a remediat vulnerabilitatea, a oprit sesiunile active pentru utilizatorii potențial afectați și a invalidat parolele. Sună bine la nivel de comunicare, dar rămâne o întrebare pe care nimeni nu a lămurit-o public: câte conturi au fost atinse efectiv.

De ce contează mai mult decât pare un breach pe FTP

FTP/SFTP nu este un detaliu exotic. Este stratul pe care multe site-uri mici și medii încă își urcă fișierele, își editează teme, își pun scripturi de backup sau își mută exporturi de date. O credențială FTP validă este, în practică, acces la conținutul site-ului. Iar accesul la conținutul site-ului înseamnă, pentru un magazin online, potențial acces la fișiere de configurare, la chei API, la scripturi care trimit emailuri sau la foldere de upload realizate neglijent.

Un atacator care are user și parolă FTP nu are nevoie de exploit. Are nevoie de un client FTP. De aici până la a planta un script, a modifica un fișier de temă sau a intercepta un formular nu mai e mult, iar diferența o face cât de bine sunt izolate credențialele și cât de repede se schimbă ele.

A doua parte, webmail-ul, e la fel de sensibilă. Sesiuni de webmail compromise înseamnă posibilitatea de a citi corespondență, de a seta reguli de forwardare sau de a răspunde în numele titularului. Regulile de forwardare sunt un vector clasic pentru atacuri de business email compromise, pentru că permit atacatorului să primească discret copii ale mesajelor fără să fie nevoit să se autentifice din nou.

Ce spune DreamHost că a făcut și ce lipseste din imagine

Pe partea de remediere, furnizorul enumeră pași standard: blocarea accesului, remedierea vulnerabilității, oprirea sesiunilor active, invalidarea parolelor. Pe partea de compensare, le oferă celor afectați un an de monitorizare de credit și protecție împotriva furtului de identitate prin Equifax. Recomandă și plasarea unui fraud alert sau a unui security freeze la biroul de credit.

Ce lipseste este transparența cantitativă. Nu știm câte conturi au fost afectate, nu știm ce fel de vulnerabilitate a fost exploatată și nu știm dacă atacatorii au reușit să folosească credențialele înainte de invalidare. Acesta nu este un capriciu de jurnalist. Pentru un client, diferența între "un număr limitat de utilizatori" și "toți utilizatorii care au folosit File Manager în două luni" schimbă complet amploarea verificărilor pe care trebuie să le facă.

Un principiu util aici, pe care îl aplicăm și în auditurile noastre: o verificare incompletă nu dovedește absența unei funcții sau a unui element. Cu alte cuvinte, faptul că DreamHost nu a publicat încă numărul de conturi nu înseamnă că impactul este mic. Înseamnă doar că nu avem încă proba. Iar absența probei nu trebuie confundată cu absența riscului.

Ce inseamna pentru tine, antreprenor sau marketer roman

Dacă ai un site pe DreamHost, chiar dacă nu ești sigur că ai folosit File Manager, primul pas este să verifici dacă ai primit notificarea și dacă ai primit cererea de resetare a parolelor. Dacă ai primit-o, trateaz-o ca pe un incident real, nu ca pe un email de rutină.

Al doilea pas: schimbă parolele FTP/SFTP, nu doar pe cea principală, ci pe toate conturile de FTP create pentru colaboratori, agenții sau dezvoltatori. Verifică lista de conturi și șterge-le pe cele pe care nu le mai folosești. Un cont de FTP uitat este o ușă deschisă uitată.

Al treilea pas: verifică fișierele site-ului pentru modificări neautorizate. Asta înseamnă fișiere noi în foldere unde nu ar trebui să apară, scripturi PHP modificate recent, cod ofuscat în locuri neobișnuite. Dacă ai un sistem de versionare, compară cu ultima versiune cunoscută. Dacă nu ai, e un moment bun să începi cu un backup curat.

Al patrulea pas, specific webmail-ului: verifică regulile de forwardare și filtrele din căsuța de email. Șterge orice regulă pe care nu ai creat-o tu. Verifică și răspunsurile automate. Un atacator care setează o forwardare către o adresă externă nu are nevoie de mult ca să citească facturi, oferte de la furnizori sau discuții cu clienți.

Al cincilea pas: verifică dacă aceleași credențiale sunt folosite și pe alte servicii. Notificarea DreamHost recomandă exact asta. Dacă foloseai aceeași parolă pe FTP și pe contul de administrat Magento, Shopify, panoul de hosting sau emailul de business, schimb-o peste tot.

Pentru marketeri, un detaliu operațional: dacă lucrezi într-o echipă, cineva deține accesul FTP al site-ului. De multe ori nu media buyer-ul, ci un dezvoltator extern sau un contractor care a plecat demult. Acesta este momentul să faci inventarul acceselor și să aplici principiul minimului necesar.

Pentru verificarea integrității cookie-urilor și a sesiunilor de browser în infrastructura voastră, un material relevant este cel despre cum Vercel blochează cookie-urile furate cu DBSC. Iar dacă te interesează partea de măsurare și cum rămâi cu date curate în Analytics când se întâmplă incidente, discutăm și acolo.

Ce ar trebui să urmărești în comunicarea publică a DreamHost

Trei lucruri ar schimba evaluarea de risc. Un număr de conturi afectate. O descriere a vulnerabilității exploatate, măcar la nivel de tip. Și o confirmare clară dacă atacatorii au reușit sau nu să folosească credențialele înainte de invalidare.

Până atunci, recomandarea mea este tratarea incidentului ca fiind semnificativ pentru orice site care a folosit File Manager în perioada menționată, chiar dacă nu ai dovezi de compromitere. Costul verificării este mic. Costul unui fișier modificat pe un checkout este mare.

Asta nu este o afirmație despre pierderi de bani sau efecte asupra CPA-ului. Nu avem date pentru așa ceva. Este o recomandare de igienă operațională, bazată pe faptele confirmate de furnizor.

FAQ

A fost spart contul meu dacă nu am primit notificarea? Nu poți trage această concluzie din absența unui email. Verifică direct în panou dacă parolele FTP au fost invalidate și dacă sesiunile au fost oprite. Contactează suportul DreamHost dacă ai nelămuriri. O verificare incompletă nu dovedește absența unei probleme.

Ce fac mai întâi dacă am site pe WordPress sau magazin online? Schimbă parolele FTP/SFTP, verifică fișierele pentru modificări neașteptate și verifică regulile de forwardare din webmail. În paralel, fă un backup curat al fișierelor și al bazei de date, ca să ai o referință.

Trebuie să anunț clienții? Depinde de ce date personale procesezi prin site și dacă există dovezi de acces la ele. Nu văd în notificarea furnizorului o confirmare că datele clienților ar fi fost accesate. Dar dacă găsești modificări neautorizate, discuția cu un specialist în protecția datelor devine necesară.

Arc final: AI-ul ajută, omul decide, ALLSoft Agency execută

AI-ul poate ajuta aici la lucruri concrete: scanarea unui diff de fișiere, gruparea logurilor de acces, generarea unei liste de verificat pentru fiecare cont de FTP, schițarea unui plan de rotație a credențialelor. Poate accelera analiza și planificarea. Nu poate decide în locul tău ce conturi sunt critice, ce reguli de forwardare sunt legitime și ce se schimbă la nivel de business.

Decizia și execuția rămân umane. Un media buyer senior sau un operator tehnic știe ce accese are echipa, ce integrări trebuie reconectate după rotația parolelor și ce verifică în primele 24 de ore. Iar pasul concret, de la inventar de accese la protocol de răspuns la incident pentru site-ul tău, îl face ALLSoft Agency. Fără hype, fără promisiuni de cifre pe care nu le avem. Cu un checklist pe care îl poți rula săptămâna asta.