A provedora de hospedagem web DreamHost confirmou que hackers roubaram e-mails e credenciais de clientes durante um ciberataque que durou meses e que a empresa aparentemente só percebeu quando as coisas começaram a desmoronar visivelmente. A violação foi divulgada na última quinta-feira, após provocar uma interrupção que durou vários dias, durante a qual a DreamHost redefiniu algumas senhas de clientes — uma manobra clássica do tipo "já consertamos, por favor não pergunte há quanto tempo estava quebrado".

Em um aviso de violação de dados protocolado no gabinete do procurador-geral da Califórnia, a provedora disse que o ataque começou em agosto e permitiu que hackers obtivessem tokens de sessão, as pulseiras digitais que mantêm os usuários conectados depois que inserem suas senhas. Com esses tokens em mãos, um atacante pode entrar em um sistema fingindo ser o usuário legítimo, sem precisar de senha — o que é exatamente tão conveniente para os hackers quanto parece e exatamente tão inconveniente para todo o resto.

A empresa disse que os hackers exploraram uma vulnerabilidade não especificada no gerenciador de arquivos da DreamHost, a ferramenta que os clientes usam para armazenar seus arquivos. Quando procurado pelo TechCrunch, um porta-voz da DreamHost se recusou a explicar por que a empresa não detectou o ciberataque até a semana passada, citando uma investigação em andamento — uma frase que nunca fez ninguém se sentir melhor sobre uma lacuna de detecção de quatro meses. O porta-voz também se recusou a dizer qual é a vulnerabilidade.

A DreamHost ofereceu um esclarecimento: a falha não tinha relação com as vulnerabilidades recentemente descobertas no software web PHP, porque aparentemente é importante estabelecer que este incêndio em particular não foi causado pelo outro incêndio, mais famoso.

Quanto ao número de clientes afetados, o porta-voz disse que o número é "bem abaixo de 10%", mas não forneceu um número mais preciso. Para contextualizar, a DreamHost se gaba de cerca de 400 mil clientes pagantes em sua rede — então "bem abaixo de 10%" é uma forma reconfortantemente vaga de dizer "um número grande o suficiente para que preferiríamos que você não fizesse as contas".