L’hébergeur web américain DreamHost a confirmé qu’un attaquant a exploité, pendant environ deux mois, une faille de l’outil en ligne que ses clients utilisent pour gérer les fichiers de leur site. Des identifiants de connexion et, dans quelques cas, le contenu de boîtes mail ont été exposés. Une situation qui peut toucher n’importe quelle PME dont le site et la messagerie sont chez un hébergeur.
Ce qui s’est passé
Le 23 octobre 2026, DreamHost découvre qu’un tiers a accédé au serveur de son gestionnaire de fichiers en ligne, l’outil qui permet de modifier les fichiers d’un site depuis le navigateur. L’hébergeur coupe l’outil, corrige la faille et réinitialise les mots de passe des comptes de messagerie et de transfert de fichiers (FTP/SFTP) qui pouvaient être touchés.
Dans son compte rendu du 29 octobre, DreamHost explique que l’attaquant a récupéré les identifiants des clients qui se sont connectés à cet outil entre août environ et le 23 octobre. Il a aussi atteint certains systèmes de webmail et obtenu les identifiants d’un nombre limité d’utilisateurs ; dans quelques cas, il a pu lire le contenu des boîtes. Moins de 10 % des comptes mail et FTP/SFTP seraient concernés. L’hébergeur dit n’avoir trouvé aucune trace d’accès aux données de facturation (DreamHost, 29 octobre 2026). Sa lettre officielle de notification a été relayée le 5 novembre (The Hacker News, 5 novembre 2026).
Comment l’attaque a fonctionné
L’outil de DreamHost repose sur un logiciel fourni par un éditeur tiers. L’attaquant a exploité une faille de ce logiciel, accessible depuis Internet. Une fois installé sur le serveur, il a pu récupérer les identifiants que les clients saisissaient pour se connecter, sans que ceux-ci voient la moindre anomalie. Avec certains identifiants de messagerie, il a ensuite pu ouvrir des boîtes mail.
Ce type d’attaque est discret : le client se connecte normalement, son site fonctionne, son courrier arrive. Rien ne l’alerte, et c’est l’hébergeur qui finit par repérer l’intrusion.
Ce qu’on ne sait pas encore
DreamHost ne nomme pas le logiciel vulnérable et ne décrit pas la faille. On ignore aussi la date exacte du début de l’accès et l’usage fait des identifiants volés : modification de sites, envoi de courriels piégés, revente.
Ce que ça change pour une PME
- Ne vous arrêtez pas au mot de passe demandé. Si votre hébergeur annonce un incident, changez le mot de passe concerné, mais aussi tous ceux qui lui ressemblent ailleurs : c’est souvent là que le vol fait le plus de dégâts.
- Vérifiez votre site et votre messagerie. Regardez si des fichiers du site ont été modifiés sans raison, et contrôlez les règles de transfert et les filtres de votre messagerie : un intrus en ajoute volontiers une pour recevoir une copie de vos courriels.
- Renforcez les accès. Double authentification sur la messagerie, connexion par clé plutôt que par mot de passe pour le transfert de fichiers quand l’hébergeur le propose, et un compte par personne plutôt qu’un identifiant partagé.
- Méfiez-vous des faux messages de l’hébergeur. Après un incident public, les escrocs imitent les courriels de réinitialisation. Passez toujours par l’adresse habituelle de votre espace client, jamais par un lien reçu. La fiche de Cybermalveillance.gouv.fr « Piratage de compte » rappelle les bons gestes.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Savons-nous quels outils de notre hébergeur voient passer nos mots de passe, et notre contrat prévoit-il qu’il nous prévienne rapidement en cas d’incident ?
- Nos accès à la messagerie et au transfert de fichiers du site sont-ils protégés par des mots de passe uniques et, quand c’est possible, par une double authentification ?
- Si notre hébergeur est piraté demain, savons-nous qui change quels mots de passe, qui vérifie le site et qui contrôle les règles de transfert de la messagerie ?
- Serions-nous prévenus si quelqu’un créait une règle qui transfère nos courriels vers une adresse extérieure ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Mots de passe et accès volés · Fournisseurs et sous-traitants
Cet article prolonge notre bulletin de veille du 6 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.