DreamHostは、ブラウザベースのファイルマネージャー（files.dreamhost.com）を稼働させているサーバーに、第三者が不正に侵入したことを確認しました。
この侵入により、FTP/SFTPの認証情報と、一部のウェブメールのログイン情報が流出しました。同社は2026年10月23日（金）の午後に、この不審な活動を検知しました。
DreamHostはファイルマネージャーのサーバーをオフラインにし、悪用されたソフトウェアの欠陥を修正したうえで、調査を開始しました。あわせて、認証情報が漏えいした可能性のあるメールおよびFTP/SFTPユーザーのパスワードもリセットしています。
同社はこの事案を意図的な攻撃だったと説明し、封じ込めのためチームが昼夜を問わず対応したとしています。サービス障害に関する以前の報道によると、ファイルマネージャーは10月26日に復旧しましたが、影響を受けたユーザーは新しい認証情報を取得する必要がありました。
ファイルマネージャーはサードパーティ製ソフトウェアをベースに構築されています。攻撃者はそのコンポーネントの欠陥を悪用し、検知されるまでにログインしたユーザーのFTP/SFTPのユーザー名とパスワードを収集しました。
DreamHostは同日中に、これらのパスワードをリセットし、アクティブなセッションを終了させました。ごく一部のケースでは、攻撃者が盗んだ認証情報を使ってメールボックスの内容を閲覧したとみています。同社は該当する顧客に個別に連絡しています。
DreamHostの分析によると、今回のインシデントの影響を受けたのは、メールおよびFTP/SFTPアカウントの約10%を大きく下回る範囲です。2026年8月ごろから2026年10月23日までの間に、本人またはアカウント内のFTP/SFTPユーザーがファイルマネージャーにログインした場合、影響を受けた可能性があります。
DreamHostは、これらの認証情報は侵害されたものとして扱うよう呼びかけています。また、他のサービスで同じパスワードや似たパスワードを使い回している場合は、変更することも推奨しています。調査では、攻撃者がコントロールパネルのログイン情報や顧客の請求情報にアクセスした形跡は確認されませんでした。
カード決済はサードパーティの決済代行業者が処理しているため、DreamHostはクレジットカード番号の全桁を保存していません。同社によると、影響を受けた顧客は当初の想定より少なく、最初の通知を受け取った全員が被害を受けたわけではないということです。
DreamHostは、侵害されたファイルマネージャーのサーバーをフォレンジック分析のために保全しました。そのうえで、追加のセキュリティ対策と強化した監視体制のもとでサービスを再構築しています。漏えいした可能性のある内部認証情報も更新しました。
同社は、顧客向けの他のツールにも同様の欠陥がないか点検を進めており、外部のセキュリティおよびフォレンジックの専門家にも協力を依頼しています。規制当局にも通知を行っており、現地の法律に基づき、影響を受けたユーザーへ正式な通知を送付する予定です。
DreamHostは、今回のインシデントは最近のPHPサーバーの更新とは無関係だと説明しています。同社はパッチ公開から数時間以内に、該当サーバーへパッチを適用しました。また、公開前の数日間にも、ウェブアプリケーションファイアウォール（WAF）が数万件に及ぶ侵入の試みをブロックしたとしています。
ホスティングのコントロールプレーンは価値の高い標的です。最近のcPanelとWHMの脆弱性では、root権限でのコード実行や管理者セッションのハイジャックが可能になっており、その実態を示しています。
新しいパスワードを設定できるのは、アカウント所有者のみです。設定は、panel.dreamhost.comのDreamHostコントロールパネルから行います。パスワードの変更が反映されるまで、最大15分かかる場合があります。DreamHostは次の対応を推奨しています。
すべてのユーザーに強力で固有のパスワードを設定し、古い認証情報を保存したままのメール、FTP、SFTPクライアントを更新してください。ウェブサイトのファイルに見覚えのない変更がないか確認してください。ウェブメールの転送ルールやフィルターに、ユーザー本人が作成していない項目がないかも確認してください。
DreamHostは、これに続くフィッシングにも警戒を呼びかけています。同社がパスワードの入力を求めるメールを送ることは決してなく、インシデントに関する通知で、リンクからのサインインを求めることもありません。盗まれた認証情報のログは、その後の侵入に悪用されることが多いため、顧客は漏えいしたパスワードを速やかに変更すべきです。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/dreamhost-confirms-cyberattack/
