Le fournisseur d'hébergement web DreamHost a confirmé que des pirates ont volé les e-mails et les identifiants des clients lors d'une cyberattaque qui a duré des mois et que l'entreprise n'a apparemment remarquée que lorsque les choses ont commencé à s'effondrer visiblement. La violation a été divulguée jeudi dernier après avoir déclenché une panne de plusieurs jours, pendant laquelle DreamHost a réinitialisé certains mots de passe clients - une manœuvre classique du type « on a réparé, ne demandez pas depuis combien de temps c'était cassé ».

Dans un avis de violation de données déposé auprès du procureur général de Californie, l'hébergeur a déclaré que l'attaque avait commencé en août et avait permis aux pirates d'obtenir des jetons de session, les bracelets numériques qui maintiennent les utilisateurs connectés après avoir saisi leur mot de passe. Avec ces jetons en main, un attaquant peut entrer dans un système en se faisant passer pour l'utilisateur légitime, sans mot de passe - ce qui est exactement aussi pratique pour les pirates que cela en a l'air et exactement aussi gênant pour tout le monde.

L'entreprise a déclaré que les pirates avaient exploité une vulnérabilité non spécifiée dans le gestionnaire de fichiers de DreamHost, l'outil que les clients utilisent pour stocker leurs fichiers. Contacté par TechCrunch, un porte-parole de DreamHost a refusé d'expliquer pourquoi l'entreprise n'avait pas détecté la cyberattaque avant la semaine dernière, invoquant une enquête en cours - une phrase qui n'a jamais rassuré personne sur un écart de détection de quatre mois. Le porte-parole a également refusé de dire quelle était réellement la vulnérabilité.

DreamHost a toutefois apporté une précision : la faille n'était pas liée aux vulnérabilités récemment découvertes dans le logiciel web PHP, car il est apparemment important d'établir que cet incendie particulier n'a pas été causé par l'autre incendie, plus célèbre.

Quant au nombre de clients touchés, le porte-parole a déclaré qu'il était « bien inférieur à 10 % » mais n'a pas fourni de chiffre plus précis. Pour contexte, DreamHost revendique quelque 400 000 clients payants sur son réseau - donc « bien inférieur à 10 % » est une façon rassurante et vague de dire « un nombre suffisamment grand pour que nous préférions que vous ne fassiez pas le calcul ».