Il provider di hosting statunitense DreamHost ha forzato il reset delle password di una parte degli account email e FTP/SFTP dei propri clienti, nell’ambito di un incidente iniziato il 23 ottobre che ha messo fuori uso il File Manager del pannello e disconnesso alcuni utenti della webmail. Il reset delle password DreamHost è descritto dall’azienda come una misura precauzionale: gli utenti coinvolti non possono accedere finché il titolare dell’account non imposta nuove credenziali. Al momento DreamHost non ha comunicato la causa dell’incidente né il numero di account interessati.
Cosa è successo a DreamHost
Secondo la pagina di stato ufficiale, il 23 ottobre il team operativo di DreamHost ha iniziato a indagare su problemi di connessione al File Manager (files.dreamhost.com). Nelle ore successive l’incidente si è esteso ad altri servizi: il File Manager è stato messo offline, alcuni utenti della webmail sono stati disconnessi e l’azienda ha avviato, «come precauzione», il reset delle password di una parte delle caselle email e degli utenti FTP/SFTP.
Nel fine settimana DreamHost ha inviato a tutti i titolari degli account interessati le istruzioni per impostare nuove password. Nell’aggiornamento del 26 ottobre (le 23:35 ora italiana) l’azienda ha comunicato di aver distribuito una correzione e che il File Manager è di nuovo online, sotto monitoraggio. L’incidente però non è ancora chiuso: il reset resta obbligatorio per una parte degli account email e FTP/SFTP.
Cosa non ha detto l’azienda
DreamHost non ha spiegato che cosa abbia causato l’incidente, quanti utenti siano stati coinvolti né se caselle di posta o file siano stati consultati da terzi. Come riporta BleepingComputer, nelle comunicazioni inviate ai clienti l’azienda consiglia però di controllare ogni indirizzo email alla ricerca di regole di inoltro e di rimuovere quelle verso destinazioni sconosciute: un’indicazione che fa pensare a possibili accessi non autorizzati ad alcune caselle, anche se DreamHost non lo ha confermato. La testata ha chiesto chiarimenti all’azienda senza ricevere risposta al momento della pubblicazione.
La portata potenziale è ampia: secondo i dati dell’azienda citati da BleepingComputer, DreamHost serve oltre 400.000 clienti in più di 100 Paesi e ospita almeno 1,5 milioni di siti e applicazioni, tra cui circa 750.000 installazioni WordPress. Non è il primo incidente di quest’anno che colpisce un fornitore di servizi in hosting: pochi giorni fa avevamo raccontato l’attacco al servizio cloud di GMO Internet.
Reset password DreamHost: cosa devono fare i clienti
Solo il titolare dell’account DreamHost può impostare le nuove password, accedendo direttamente a panel.dreamhost.com: le caselle di posta si gestiscono da «Mail > Manage Email», gli utenti FTP/SFTP da «Websites > SFTP Users & Files». Una nuova password può richiedere fino a 15 minuti per diventare attiva. DreamHost precisa di non poter contattare direttamente i singoli utenti delle caselle o degli account FTP, quindi chiede ai titolari di avvisarli per telefono, SMS o altri canali e di comunicare loro le nuove credenziali.
Va ricordato che la password va aggiornata ovunque sia memorizzata: client di posta su computer e smartphone, script di backup e strumenti di pubblicazione che caricano file via SFTP. Chi aveva riutilizzato la vecchia password DreamHost su altri servizi dovrebbe cambiarla anche lì.
Attenzione al phishing
Un reset di massa è un’occasione per i truffatori, perché molti clienti in questi giorni si aspettano proprio un’email sulle password. DreamHost ribadisce che non chiederà mai la password via email e che le sue notifiche non invitano ad accedere tramite un link: per qualsiasi modifica conviene digitare a mano l’indirizzo del pannello nel browser e ignorare le richieste di reset non sollecitate. Le tecniche usate per sottrarre credenziali con false email di servizio sono ricorrenti, come abbiamo visto con le finte comunicazioni Zoom e Docusign e con il phishing inviato dai domini ufficiali di Foundation.
Per ridurre i rischi è utile anche verificare le regole di inoltro e i filtri di ogni casella, controllare gli accessi recenti dove possibile e seguire gli aggiornamenti sulla pagina di stato ufficiale fino alla chiusura dell’incidente.
Fonti: DreamHost Status, BleepingComputer.
