L’hébergeur DreamHost a confirmé qu’un attaquant a exploité une faille du logiciel tiers sur lequel repose son gestionnaire de fichiers web, et collecté pendant environ deux mois des identifiants FTP/SFTP et webmail de clients. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité. Le logiciel en cause et la nature de la faille ne sont pas publiés : nous distinguons ce que dit l’hébergeur, ce que nous en déduisons et ce qui reste inconnu.
Pour une lecture orientée dirigeant, voir notre décryptage « Hébergeur piraté : l’outil qui sert à gérer votre site a livré des mots de passe ».
Contexte
- Victime : DreamHost, hébergeur web américain (hébergement mutualisé, WordPress, messagerie, noms de domaine) ; incident confirmé par l’entreprise.
- Chronologie : accès découvert l’après-midi du 23 octobre 2026 ; outil remis en ligne le 26 octobre après reconstruction ; incident marqué résolu le 27 octobre ; compte rendu public le 29 octobre ; lettre de notification officielle déposée auprès de l’attorney general de Californie et relayée le 5 novembre. Début de l’accès : « environ août 2026 », date exacte non publiée.
- Ampleur : « bien moins de 10 % » des comptes mail et FTP/SFTP hébergés ; pas de chiffre absolu.
- Données exposées (selon DreamHost) : identifiants FTP/SFTP des personnes connectées au gestionnaire de fichiers pendant la période ; identifiants et informations de session d’un nombre limité d’utilisateurs de webmail ; contenu de boîtes mail dans un petit nombre de cas ; la lettre officielle évoque aussi un accès possible au contenu des fichiers FTP/SFTP. Pas d’accès constaté aux identifiants du panneau de contrôle ni à la facturation.
- Attribution : aucune revendication ni attribution connue.
- Sources : DreamHost, 29 octobre 2026 ; lettre de notification déposée auprès de l’attorney general de Californie ; webhosting.today, 3 novembre 2026 ; The Hacker News, 5 novembre 2026.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Exploitation d’une faille du logiciel tiers derrière le gestionnaire de fichiers web, exposé sur Internet | T1190 Exploit Public-Facing Application |
| Collecte d’identifiants | Récupération des identifiants FTP/SFTP saisis par les clients qui se connectaient à l’outil, sur environ deux mois | T1056.003 Input Capture : Web Portal Capture (hypothèse, le mécanisme n’est pas décrit) |
| Extension au webmail | Accès à « certains systèmes de webmail » et obtention d’identifiants ; chemin non décrit | Non documenté |
| Utilisation | Lecture de boîtes mail dans un petit nombre de cas | T1078 Valid Accounts ; T1114.002 Remote Email Collection |
| Persistance côté clients | Non constatée publiquement ; l’hébergeur recommande de vérifier fichiers des sites, règles de transfert et filtres | T1114.003 Email Forwarding Rule ; T1505.003 Web Shell (risques, non observés publiquement) |
Faits techniques connus
- Le gestionnaire de fichiers est un outil web construit sur un logiciel tiers, non nommé.
- Les identifiants concernés sont ceux saisis dans l’outil pendant la période à risque : un client qui ne l’a pas utilisé n’a, selon l’hébergeur, pas exposé ses identifiants FTP/SFTP par ce biais.
- DreamHost exclut un lien avec les failles PHP corrigées fin octobre et indique que son pare-feu applicatif a bloqué des dizaines de milliers de tentatives liées à ces failles.
- Réponse : serveur retiré du service et conservé pour l’analyse, réinitialisation des mots de passe et fermeture des sessions, rotation des secrets internes, reconstruction de l’outil avec une surveillance renforcée, revue des autres outils exposés aux clients, notification aux régulateurs.
Ce qu’on ne sait pas
- Le logiciel vulnérable, la faille (connue ou non au moment de l’exploitation) et sa correction côté éditeur.
- Le mécanisme exact de collecte : interception à la connexion, lecture d’un stockage de session ou autre.
- Le chemin vers les systèmes de webmail.
- L’usage des identifiants : dépôt de fichiers malveillants sur des sites, envoi d’hameçonnage depuis des boîtes légitimes, revente.
Détection : un outil tiers, discret et peu surveillé
L’intrusion a été découverte le 23 octobre, sans que DreamHost précise le signal. Avec une période à risque qui démarre vers août, la présence possible de l’attaquant atteint environ deux mois et demi. Plusieurs facteurs expliquent cette durée, selon notre lecture : un composant tiers intégré à la plateforme, souvent moins instrumenté que le cœur du service ; une collecte d’identifiants qui ne produit aucune erreur visible pour l’utilisateur ; et des connexions ultérieures avec des identifiants valides, difficiles à distinguer d’un usage normal.
Signaux utiles pour un hébergeur ou une organisation qui opère ce type d’outil : modification de fichiers du logiciel tiers hors processus de mise à jour, processus ou connexions sortantes inhabituels sur le serveur web, connexions FTP/SFTP ou webmail depuis des adresses jamais vues pour un compte, création de règles de transfert vers l’extérieur.
Côté client, l’incident n’est visible que si l’hébergeur prévient. D’où l’importance du contrat et des journaux accessibles au client.
Questions d’audit ISO 27001:2022
- Relations avec les fournisseurs (A.5.19, A.5.21, A.5.22) : le registre des fournisseurs identifie-t-il les outils de l’hébergeur qui manipulent des secrets de l’organisation (gestionnaire de fichiers, webmail, sauvegardes), et le contrat fixe-t-il un délai et un contenu de notification d’incident ? Preuves : contrat ou conditions de service, registre, revue périodique du fournisseur.
- Informations d’authentification et authentification sécurisée (A.5.17, A.8.5) : les comptes FTP/SFTP et webmail sont-ils nominatifs, avec des mots de passe uniques, et l’authentification par clé ou à plusieurs facteurs est-elle utilisée quand le fournisseur la propose ? Preuves : liste des comptes, paramétrage, politique appliquée.
- Gestion des incidents (A.5.24, A.5.26, A.5.27) : une procédure « fournisseur compromis » prévoit-elle la rotation de tous les secrets liés, la vérification d’intégrité du site (comparaison avec une référence ou une sauvegarde saine) et le contrôle des règles de transfert de messagerie, et a-t-elle été exercée ? Preuves : procédure, retour d’expérience.
- Journalisation et surveillance (A.8.15, A.8.16) : l’organisation a-t-elle accès aux journaux de connexion FTP/SFTP et webmail de son hébergement, et une alerte existe-t-elle sur la création de règles de transfert vers l’extérieur ? Preuves : journaux, règle d’alerte, revue.
Pistes de sensibilisation
- Atelier « notre prestataire a été piraté, et maintenant ? » : à partir de la lettre type d’un hébergeur, faire lister tout ce qu’il faut vérifier (mots de passe similaires, fichiers du site, règles de transfert, faux courriels de réinitialisation). Support : la fiche de Cybermalveillance.gouv.fr « Piratage de compte ».
- Démonstration des règles de transfert : montrer en deux minutes où se trouvent règles de transfert et filtres dans le webmail utilisé, et pourquoi un intrus s’en sert pour lire le courrier sans être vu. En complément, les bonnes pratiques de Cybermalveillance.gouv.fr sur les mots de passe.
À lire aussi : notre décryptage pour les dirigeants et notre bulletin de veille du 6 novembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.