DreamHostのFile Managerが侵害され、顧客のウェブサイトやウェブメールアカウントへのアクセスに使われる認証情報が流出しました。
このホスティング事業者は、ブラウザベースのFile Managerに存在する脆弱性を攻撃者に悪用され、FTP/SFTPのユーザー名とパスワード、および一部のウェブメールユーザーの認証情報が流出したことを認めました。DreamHostが侵入を発見したのは2026年10月23日です。認証情報が流出した可能性のある期間は、およそ2026年8月までさかのぼります。
DreamHostは、流出した可能性のあるパスワードをリセットし、影響を受けたセッションを終了させました。ただし、管理者は引き続き、攻撃者が機密ファイルにアクセスしたか、ウェブサイトのコンテンツを改ざんしたか、非公開の通信内容を閲覧したかを確認する必要があります。
攻撃者はDreamHostのFile Managerをどう悪用したか
10月29日付のDreamHostのセキュリティ開示によると、攻撃者はfiles.dreamhost.comでFile Managerを動かすサードパーティ製ソフトウェアの、詳細不明の脆弱性を悪用しました。
攻撃者は、対象期間中にこのツールを利用したユーザーのFTP/SFTP認証情報を入手しました。アカウントの権限によっては、こうした認証情報を使ってファイルへの不正アクセスや改ざんが可能になる恐れがあります。Lenovo ID認証が絡んだDropboxの情報漏えいでも、アクセス制御が破られると、ホスティングされたファイルが危険にさらされることが示されました。
今回の侵入はウェブメールシステムにも及びました。限られた数のユーザーのログイン認証情報が流出しており、同社は、メールボックスの内容が閲覧されたケースもあるとみています。
BleepingComputerの11月4日付の報道によれば、ウェブメールのセッション情報も流出した可能性があります。有効なセッショントークンがあれば、パスワードを再入力しなくても不正アクセスできる恐れがあります。このリスクは、有効な認証トークンが関わったChainalysisの情報漏えいでも浮き彫りになりました。
DreamHostは、影響を受けたのはホスティングするメールおよびFTP/SFTPアカウントの10%を大きく下回ると推定していますが、正確な件数は公表していません。
コントロールパネルの認証情報や請求情報が侵害された形跡は見つかっていないとのことです。
DreamHostは攻撃の発見後、File Managerを停止し、流出した可能性のあるパスワードをリセットして、影響を受けたセッションを終了させました。その後、セキュリティ対策を追加したうえでサービスを再構築しています。悪用された脆弱性は公表されていません。
影響を受けたホスティングアカウントのセキュリティ確認
DreamHostは脆弱性に対処したとしていますが、影響を受けた組織は不正な活動がなかったかを調査すべきです。アカウント所有者は、ホスティングのコントロールパネルから、対象ユーザーのパスワードを新しいものに設定し直す必要があります。
mSecureの認証情報に関するセキュリティインシデントは、パスワードのリセットだけに頼らず、流出した可能性のあるほかのシークレットも調べる必要があることを改めて示しています。
セキュリティチームは、次の対策を優先して実施してください。
- 認証情報のリセットとセッションの確認: 流出した可能性のあるパスワードや使い回しのパスワードを変更し、保存済みの認証情報を更新して、影響を受けたセッションが無効化されていることを確認する
- 活動の調査と証拠の保全: 利用可能なアクセスログを調べ、不審な接続やファイルの変更がないか確認する。対処に入る前に、関連する証拠を保全する
- アカウントと権限の監査: FTP/SFTPユーザー、SSH鍵、ウェブメールの転送ルールに、不正な追加や変更がないか確認する
- 流出した可能性のあるシークレットのローテーション: アクセスされた可能性のあるファイルに保存していた場合は、データベースのパスワード、APIトークン、アプリケーションの認証情報を変更する。対応している場合は多要素認証を有効にする
- ウェブサイトの完全性の検証と復旧: ホスティングされているファイルを信頼できるバックアップと比較し、想定外の変更を調査する。復元手順もテストする
- インシデント対応計画のテスト: 認証情報の侵害を想定した演習を行い、封じ込め、エスカレーション、通知、復旧の各プロセスを検証する
DreamHostは、同社のセキュリティ通知を装ったフィッシングメールについても顧客に注意を呼びかけています。管理者は、不審なサインインリンクをたどらず、ホスティングのコントロールパネルに直接アクセスしてください。
DreamHostの情報漏えい通知によると、対象となる被害者には、Equifaxの個人情報盗難対策サービスが1年間提供されます。
DreamHostは、影響を受けたアカウントの正確な数や、不正アクセスの全容を明らかにしていません。管理者は、認証情報のリセットが完了したかを確認し、ウェブサイトのファイルやメールボックスが侵害された可能性を調べる必要があります。
サイバーセキュリティのその他のニュース: Microsoft 365のパスキーを狙うフィッシングキャンペーンは、攻撃者が認証ワークフローを悪用して、企業アカウントを乗っ取り、クラウド上のデータにアクセスできることを示しています。
翻訳元: https://www.esecurityplanet.com/news/news-dreamhost-breach-ftp-sftp-webmail-credentials/
