DreamHost confirmó que un intruso explotó una vulnerabilidad en su gestor web de archivos y obtuvo nombres de usuario y contraseñas FTP/SFTP. La empresa también identificó credenciales expuestas de un número limitado de usuarios de correo y señaló que algunos buzones pudieron haber sido consultados.
La compañía de alojamiento web detectó el acceso no autorizado el 23 de octubre de 2026. Según su aviso, deben considerarse comprometidas las credenciales utilizadas para entrar en File Manager desde aproximadamente agosto hasta ese día. Tras el hallazgo, desactivó el servicio, cerró sesiones y restableció contraseñas de usuarios que podían haber quedado afectados.
La exposición de archivos y la de correo tienen alcances distintos
File Manager permite administrar desde el navegador los archivos de un sitio alojado en DreamHost. Las credenciales FTP y SFTP también sirven para acceder a esos archivos mediante programas de transferencia. Por eso, la compañía recomienda revisar si hay cambios que el propietario no reconozca.
El acceso a una contraseña de archivos no demuestra por sí solo que todos los sitios asociados hayan sido modificados. DreamHost no ha publicado una cifra de sitios alterados y sigue investigando el alcance de la intrusión.
La empresa explicó que el tercero también pudo llegar a determinados sistemas de webmail y obtener credenciales de un grupo limitado de usuarios. En una pequeña cantidad de casos, considera posible que esas credenciales se usaran para consultar el contenido de los buzones; está contactando individualmente a esos clientes.
La notificación sobre la brecha también menciona información de sesión de algunos usuarios de webmail, informó BleepingComputer. Como explicó TechCrunch, los datos de sesión pueden permitir que alguien mantenga el acceso a una cuenta después de que el usuario inició sesión. DreamHost asegura que cerró las sesiones de quienes podían verse afectados.
Qué significa la cifra de menos del 10%
DreamHost estima que el incidente afectó a bastante menos del 10% de las cuentas de correo y FTP/SFTP alojadas en su plataforma. La cifra se refiere a cuentas de esos servicios, no a un número confirmado de personas, empresas o sitios web afectados. La compañía no ha dado un total preciso.
Haber recibido el aviso inicial tampoco confirma por sí solo que una cuenta haya sido alcanzada: DreamHost afirma que tomó medidas preventivas mientras investigaba y que no todas las personas notificadas resultaron afectadas.
Si una contraseña de correo o FTP/SFTP que ya funcionaba sigue funcionando y su usuario no la cambió, la investigación de la empresa indica hasta ahora que no quedó expuesta. Aun así, DreamHost recomienda cambiarla como precaución y consultar a soporte si hay dudas sobre alguna cuenta.
Cómo recuperar el acceso y revisar las cuentas
Las cuentas afectadas siguen activas, pero necesitan una nueva contraseña para que sus usuarios puedan iniciar sesión otra vez. DreamHost indica que solo el titular de la cuenta principal puede establecerla desde el panel de control; después, hay que actualizarla en los programas de correo y transferencia que la tengan guardada.
La compañía también recomienda:
- Cambiar en otros servicios cualquier contraseña igual o similar a una que se haya utilizado en DreamHost.
- Revisar los archivos del sitio en busca de modificaciones no reconocidas.
- Comprobar las reglas de reenvío y los filtros del correo para identificar configuraciones que el usuario no haya creado.
DreamHost advierte que sus mensajes sobre el incidente no piden contraseñas ni solicitan iniciar sesión mediante un enlace. Para evitar intentos de suplantación, aconseja escribir directamente la dirección de su panel en el navegador.
BleepingComputer informó que la empresa ofrece a las personas afectadas un año de monitoreo de crédito y protección contra robo de identidad mediante Equifax. Las condiciones de esa oferta deben consultarse en la notificación recibida. El monitoreo puede ayudar a detectar señales de robo de identidad, pero no sustituye la revisión de archivos ni de reglas de correo.
La investigación continúa
DreamHost afirma que corrigió la vulnerabilidad, conservó el servidor afectado para el análisis forense y reconstruyó File Manager con medidas adicionales antes de volver a ponerlo en línea. También incorporó a especialistas externos para investigar el incidente.
Hasta el momento, la empresa dice que no ha encontrado indicios de acceso a las credenciales del panel de control ni a los datos de facturación. Esa conclusión refleja el estado de su investigación, que continúa abierta.
DreamHost no ha detallado públicamente la falla explotada. Un portavoz dijo a TechCrunch que no estaba relacionada con las vulnerabilidades recientes de PHP. Para los clientes que almacenan datos de terceros, la empresa recomienda consultar sus posibles obligaciones con asesores legales.
