Si vous passiez par le gestionnaire de fichiers de DreamHost, un pirate a pu voler votre mot de passe et lire vos fichiers

Le 23 octobre, le gestionnaire de fichiers en ligne de DreamHost ne répond plus. À partir de ce jour-là, l'hébergeur américain bloque l'accès aux boîtes mail et aux comptes FTP et SFTP, qui servent à déposer les fichiers d'un site, jusqu'à ce que chaque mot de passe soit changé. Il n'en donne pas la cause.

L'explication arrive le 29 octobre dans une annonce de DreamHost, puis dans la lettre envoyée aux clients concernés. Elle a été déposée auprès du procureur général de Californie et révélée le 4 novembre par BleepingComputer. Un tiers non autorisé a exploité une faille du logiciel qui fait tourner ce gestionnaire de fichiers, à l'adresse files.dreamhost.com. Il a ainsi pu accéder aux identifiants et mots de passe FTP et SFTP des personnes qui s'y sont connectées entre août environ et le 23 octobre. DreamHost parle d'une attaque délibérée.

Les fichiers des sites et des e-mails ont pu être lus

Le pirate ne s'est pas arrêté là. Selon la lettre, il a aussi atteint certains systèmes de messagerie web. Il a pu y voir les informations de session, celles qui maintiennent un utilisateur connecté, d'un nombre limité d'abonnés. DreamHost reconnaît que le contenu des e-mails et des fichiers stockés sur ses serveurs FTP et SFTP a pu être consulté. L'hébergeur dit n'avoir trouvé aucune trace d'accès aux identifiants de son panneau de contrôle ni aux données de facturation. Il ajoute qu'il ne conserve pas les numéros complets des cartes bancaires.

Combien de clients sont touchés ? DreamHost ne donne pas de chiffre précis : dans son annonce du 29 octobre, il évoque une fraction des comptes mail et FTP/SFTP qu'il héberge, bien en dessous de 10 % environ. BleepingComputer l'a interrogé à plusieurs reprises, sans réponse. Le logiciel et la faille exploités ne sont pas nommés non plus.

Que faire si votre site est chez DreamHost ?

L'hébergeur dit avoir coupé l'accès du pirate, corrigé la faille, fermé les sessions ouvertes et réinitialisé les mots de passe. Mais un intrus resté plusieurs semaines a eu le temps de déposer un fichier ou de lire une configuration. Les réflexes à avoir :

• vérifiez les fichiers de votre site pour repérer une modification inattendue, comme un script ajouté ou une page altérée, ce que recommande aussi DreamHost ;
• contrôlez les règles de transfert et les filtres de chaque boîte mail : un renvoi discret vers une adresse inconnue est un signe classique d'intrusion ;
• changez le mot de passe de tous les services où vous utilisiez le même ;
• passez en revue les secrets stockés dans vos fichiers, comme le mot de passe de la base de données dans la configuration d'un site WordPress ou des clés d'API, et changez-les. La lettre invite elle-même à examiner le contenu des fichiers et des e-mails pour repérer d'autres comptes à surveiller.

Un hébergeur concentre les accès de milliers de sites, ce qui en fait une cible de choix. En octobre, l'hébergeur Railway avait lui aussi averti que des clés d'API stockées chez lui avaient pu être lues. Chez DreamHost, l'enquête continue : l'entreprise promet de prévenir ses clients si elle découvre des éléments importants. Le nombre exact de comptes touchés reste la grande inconnue.