El proveedor de alojamiento web DreamHost ha confirmado que los hackers robaron correos electrónicos y credenciales de clientes durante un ciberataque de meses de duración que la empresa, al parecer, notó solo cuando las cosas empezaron a desmoronarse visiblemente. La brecha se reveló el jueves pasado después de que provocara una interrupción de varios días, durante la cual DreamHost restableció algunas contraseñas de clientes, una maniobra clásica de "ya lo arreglamos, por favor no pregunte cuánto tiempo estuvo roto".

En un aviso de violación de datos presentado ante el fiscal general de California, el proveedor de alojamiento web dijo que el ataque comenzó en agosto y permitió a los hackers obtener tokens de sesión, las pulseras digitales que mantienen a los usuarios conectados después de introducir sus contraseñas. Con esos tokens en mano, un atacante puede entrar en un sistema haciéndose pasar por el usuario legítimo, sin necesidad de contraseña, lo que es exactamente tan conveniente para los hackers como suena y exactamente tan inconveniente para todos los demás.

La empresa dijo que los hackers explotaron una vulnerabilidad no especificada en el administrador de archivos de DreamHost, la herramienta que los clientes usan para almacenar sus archivos. Cuando TechCrunch se puso en contacto, un portavoz de DreamHost se negó a explicar por qué la empresa no detectó el ciberataque hasta la semana pasada, citando una investigación en curso, una frase que nunca ha hecho sentir mejor a nadie sobre una brecha de detección de cuatro meses. El portavoz también se negó a decir cuál es la vulnerabilidad en realidad.

DreamHost sí ofreció una aclaración: el fallo no estaba relacionado con las vulnerabilidades descubiertas recientemente en el software web PHP, porque al parecer es importante establecer que este incendio en particular no fue causado por el otro incendio, el más famoso.

En cuanto a cuántos clientes se vieron afectados, el portavoz dijo que la cifra es "muy inferior al 10%" pero no proporcionó una cifra más precisa. Como contexto, DreamHost presume de unos 400.000 clientes de pago en su red, así que "muy inferior al 10%" es una forma tranquilizadoramente vaga de decir "una cifra lo suficientemente grande como para que preferiríamos que no hicieras los cálculos".