Webhostingprovider DreamHost heeft bevestigd dat hackers tijdens een maandenlange cyberaanval klant-e-mails en inloggegevens hebben gestolen. Het bedrijf merkte dit blijkbaar pas toen de boel zichtbaar in elkaar begon te storten. Het datalek werd vorige week donderdag onthuld nadat het een storing van meerdere dagen had veroorzaakt, waarbij DreamHost enkele klantwachtwoorden reset - een klassieke "we hebben het opgelost, vraag alsjeblieft niet hoe lang het kapot was"-manoeuvre.

In een kennisgeving van een datalek die bij de procureur-generaal van Californië is ingediend, zei de webhost dat de aanval in augustus begon en dat hackers sessietokens wisten buit te maken: de digitale polsbandjes die gebruikers ingelogd houden nadat ze hun wachtwoord hebben ingevoerd. Met die tokens in handen kan een aanvaller een systeem binnenwandelen en zich voordoen als de rechtmatige gebruiker, zonder wachtwoord - precies zo handig voor hackers als het klinkt, en precies zo onhandig voor alle anderen.

Het bedrijf zei dat hackers een niet nader gespecificeerde kwetsbaarheid in de bestandsbeheerder van DreamHost hebben misbruikt, het hulpmiddel dat klanten gebruiken om hun bestanden op te slaan. Toen TechCrunch contact opnam, weigerde een woordvoerder van DreamHost uit te leggen waarom het bedrijf de cyberaanval pas vorige week opmerkte, met beroep op een lopend onderzoek - een zin die nog nooit iemand geruststellender heeft doen voelen over een detectiegat van vier maanden. De woordvoerder weigerde ook te zeggen wat de kwetsbaarheid precies is.

DreamHost gaf wel één verduidelijking: het lek stond los van de recent ontdekte kwetsbaarheden in de PHP-webssoftware, want blijkbaar is het belangrijk om vast te stellen dat deze specifieke brand niet is veroorzaakt door de andere, bekendere brand.

Over hoeveel klanten getroffen zijn, zei de woordvoerder dat het aantal "ruim onder de 10%" ligt, maar wilde hij geen nauwkeuriger cijfer geven. Voor context: DreamHost pronkt met zo'n 400.000 betalende klanten in zijn netwerk - dus "ruim onder de 10%" is een geruststellend vage manier om te zeggen "een aantal dat groot genoeg is dat we liever niet hebben dat je gaat rekenen".