Dostawca hostingu internetowego DreamHost potwierdził, że hakerzy ukradli e-maile i dane uwierzytelniające klientów podczas trwającego miesiącami cyberataku, który firma najwyraźniej zauważyła dopiero wtedy, gdy wszystko zaczęło się widowiskowo sypać. Włamanie ujawniono w zeszły czwartek po tym, jak wywołało kilkudniową awarię, podczas której DreamHost zresetował niektórym klientom hasła – klasyczny manewr „naprawiliśmy to, proszę nie pytać, jak długo było zepsute”.

W zawiadomieniu o naruszeniu danych złożonym do prokuratora generalnego Kalifornii dostawca hostingu podał, że atak rozpoczął się w sierpniu i pozwolił hakerom zdobyć tokeny sesji, czyli cyfrowe opaski na rękę, które utrzymują użytkowników zalogowanych po wprowadzeniu hasła. Mając takie tokeny, napastnik może wkroczyć do systemu udając legalnego użytkownika, bez potrzeby podawania hasła – co jest dokładnie tak wygodne dla hakerów, jak brzmi, i dokładnie tak niewygodne dla całej reszty.

Firma podała, że hakerzy wykorzystali nieokreśloną lukę w menedżerze plików DreamHost, narzędziu, którego klienci używają do przechowywania plików. W rozmowie z TechCrunch rzecznik DreamHost odmówił wyjaśnienia, dlaczego firma nie wykryła cyberataku aż do zeszłego tygodnia, powołując się na trwające śledztwo – frazę, która nigdy nikomu nie poprawiła samopoczucia w związku z czteromiesięczną luką w wykrywaniu. Rzecznik odmówił również podania, na czym właściwie polega luka.

DreamHost udzielił jednego wyjaśnienia: luka nie miała związku z niedawno odkrytymi podatnościami w oprogramowaniu internetowym PHP, ponieważ najwyraźniej ważne jest ustalenie, że ten konkretny pożar nie został wywołany przez inny, słynniejszy pożar.

Co do liczby poszkodowanych klientów, rzecznik powiedział, że jest to „znacznie poniżej 10%”, ale nie podał dokładniejszej liczby. Dla kontekstu: DreamHost chwali się około 400 000 płacących klientów w swojej sieci – więc „znacznie poniżej 10%” to krzepiąco nieprecyzyjny sposób powiedzenia „liczba wystarczająco duża, że wolelibyśmy, żebyście nie liczyli”.