Webbhotellleverantören DreamHost har bekräftat att hackare stal kunders e-post och inloggningsuppgifter under en månadslång cyberattack som företaget uppenbarligen upptäckte först när saker och ting började falla isär synligt. Intrånget avslöjades i torsdags efter att det utlöst ett avbrott som varade i flera dagar, under vilka DreamHost återställde vissa kunders lösenord – en klassisk "vi har fixat det, fråga inte hur länge det var trasigt"-manöver.

I ett dataintrångsmeddelande till Kaliforniens attorney general sade webbhotellet att attacken började i augusti och tillät hackare att komma åt sessionstoken, de digitala armband som håller användare inloggade efter att de angett sina lösenord. Med dessa token i hand kan en angripare promenera in i ett system och utge sig för att vara den legitima användaren, inget lösenord krävs – vilket är precis så bekvämt för hackare som det låter och precis så obekvämt för alla andra.

Företaget sade att hackare utnyttjade en ospecificerad sårbarhet i DreamHosts filhanterare, det verktyg kunder använder för att lagra sina filer. När TechCrunch nådde en talesperson för DreamHost avböjde denne att förklara varför företaget inte upptäckte cyberattacken förrän förra veckan, med hänvisning till en pågående utredning – en fras som aldrig någonsin fått någon att känna sig bättre över ett fyra månader långt upptäcktgap. Talespersonen avböjde också att säga vad sårbarheten faktiskt är.

DreamHost gav dock ett förtydligande: bristen var orelaterad till de sårbarheter som nyligen upptäcktes i PHP-programvaran, eftersom det tydligen är viktigt att fastställa att just denna brand inte orsakades av den andra, mer kända branden.

När det gäller hur många kunder som drabbades sade talespersonen att antalet är "väl under 10 %" men ville inte ge en mer exakt siffra. För sammanhanget: DreamHost skryter med cirka 400 000 betalande kunder i sitt nätverk – så "väl under 10 %" är ett betryggande vagt sätt att säga "ett antal tillräckligt stort för att vi helst inte vill att du räknar på det".