Il provider di web hosting DreamHost ha confermato che gli hacker hanno rubato email e credenziali dei clienti durante un attacco informatico durato mesi, che l'azienda sembra aver notato solo quando le cose hanno iniziato a crollare visibilmente. La violazione è stata resa nota giovedì scorso dopo aver causato un'interruzione durata diversi giorni, durante la quale DreamHost ha reimpostato alcune password dei clienti – una classica manovra "abbiamo risolto, per favore non chiedete per quanto tempo è stato rotto".

In un avviso di violazione dei dati depositato presso il procuratore generale della California, il web host ha dichiarato che l'attacco è iniziato ad agosto e ha permesso agli hacker di ottenere token di sessione, i braccialetti digitali che mantengono gli utenti connessi dopo aver inserito le password. Con quei token in mano, un attaccante può entrare in un sistema fingendo di essere l'utente legittimo, senza bisogno di password – che è esattamente comodo per gli hacker come sembra ed esattamente scomodo per tutti gli altri.

L'azienda ha affermato che gli hacker hanno sfruttato una vulnerabilità non specificata nel file manager di DreamHost, lo strumento che i clienti usano per archiviare i propri file. Contattato da TechCrunch, un portavoce di DreamHost ha rifiutato di spiegare perché l'azienda non abbia rilevato il cyberattacco fino alla settimana scorsa, citando un'indagine in corso – una frase che non ha mai fatto sentire nessuno meglio riguardo a un divario di rilevamento di quattro mesi. Il portavoce ha anche rifiutato di dire quale sia effettivamente la vulnerabilità.

DreamHost ha offerto un chiarimento: il difetto non era correlato alle vulnerabilità recentemente scoperte nel software web PHP, perché apparentemente è importante stabilire che questo particolare incendio non è stato causato dall'altro, più famoso incendio.

Quanto al numero di clienti colpiti, il portavoce ha detto che è "ben sotto il 10%" ma non ha fornito una cifra più precisa. Per contesto, DreamHost vanta circa 400.000 clienti paganti sulla sua rete – quindi "ben sotto il 10%" è un modo rassicurantemente vago di dire "un numero abbastanza grande che preferiremmo non faceste i calcoli".