DreamHost : faille File Manager expose credentials FTP/SFTP 2 mois

Les faits

DreamHost, hébergeur américain fondé en 1997 et gérant environ 400 000 clients payants, a divulgué le 4 novembre 2026 une violation de données significative affectant son service de gestion de fichiers en ligne. Un tiers non autorisé a exploité une vulnérabilité dans le logiciel sous-jacent du File Manager accessible à l'adresse files.dreamhost.com, interface permettant aux clients de gérer leurs fichiers d'hébergement directement depuis un navigateur web sans client FTP.

L'intrusion a commencé vers août 2026 et n'a été détectée que le 23 octobre 2026 — soit une fenêtre d'accès non autorisé d'environ deux mois. Pendant toute cette période, l'attaquant a pu intercepter les identifiants FTP et SFTP des utilisateurs se connectant au File Manager. Les données de session webmail auraient également été exposées selon certaines sources, bien que la communication officielle de DreamHost soit plus prudente sur ce point précis.

L'hébergeur a précisé que l'incident affectait une fraction des comptes email et FTP/SFTP hébergés, estimée à bien moins de 10 % de sa base clients. Sur 400 000 clients payants, cela représente potentiellement jusqu'à 40 000 comptes concernés — un chiffre considérable même s'il représente une minorité de la clientèle totale. DreamHost a indiqué n'avoir aucune preuve d'accès aux données de facturation (numéros de carte bancaire, coordonnées bancaires).

La réaction de l'hébergeur a été de retirer immédiatement les serveurs File Manager affectés du service, de réinitialiser les mots de passe compromis, de mettre fin aux sessions actives suspectes, de remédier à la vulnérabilité exploitée et de conserver les serveurs compromis pour analyse forensique. DreamHost a également annoncé offrir un an de surveillance de crédit et de protection contre le vol d'identité aux clients directement affectés.

Un détail technique important : l'attaquant n'a pas nécessairement exploité les identifiants en temps réel. Les credentials FTP/SFTP peuvent être réutilisés longtemps après leur vol, notamment pour accéder à des sites hébergés chez DreamHost ou d'autres prestataires si les mots de passe sont réutilisés. La menace réelle s'étend donc bien au-delà de la période d'intrusion elle-même.

L'exposition des sessions webmail est particulièrement préoccupante. L'accès à une boîte email hébergée permet à un attaquant de demander des réinitialisations de mot de passe sur d'autres services (banques, réseaux sociaux, services SaaS professionnels) en interceptant les emails de réinitialisation. Pour les professionnels utilisant leur adresse email d'hébergement comme email de contact principal pour des services tiers, l'impact potentiel est bien plus large qu'un simple accès FTP.

Plusieurs recours collectifs ont déjà été déposés aux États-Unis à la suite de cet incident. Les plaignants font valoir que DreamHost n'aurait pas pris les mesures de sécurité adéquates pour protéger les identifiants de ses clients. La durée de la brèche — deux mois sans détection — est au coeur des critiques formulées dans ces recours. La question de la conformité au RGPD pour les clients européens de DreamHost est également soulevée par des experts juridiques.

DreamHost n'a pas révélé la nature précise de la vulnérabilité exploitée dans le logiciel de son File Manager. Les questions adressées à l'hébergeur par BleepingComputer et SecurityWeek sur le périmètre exact et la cause première n'avaient pas reçu de réponse complète au moment des premières publications. Cette opacité, si elle peut se justifier par des raisons de sécurité opérationnelle, complique l'évaluation du risque résiduel pour les clients.

Impact et exposition

DreamHost est l'un des hébergeurs historiques américains les plus populaires auprès des PME, blogueurs, développeurs indépendants et agences web. Ses clients incluent de nombreuses petites entreprises européennes. L'exposition FTP/SFTP est particulièrement grave pour les agences web gérant les sites de leurs propres clients via des credentials partagés : un seul identifiant compromis peut donner accès à des dizaines de sites clients.

Pour les clients professionnels, le risque de contamination des sites hébergés est réel. Un attaquant disposant d'accès FTP peut injecter des scripts malveillants dans les pages web (skimming de type Magecart, redirecteurs malveillants, cryptomineurs) ou préparer des attaques de phishing en utilisant des domaines légitimes hébergés chez DreamHost.

Recommandations

• Réinitialiser immédiatement tous les mots de passe FTP/SFTP via le panneau de contrôle DreamHost, même sans avoir reçu de notification de l'hébergeur
• Vérifier l'intégrité des fichiers hébergés (index.php, .htaccess, scripts JavaScript) pour détecter d'éventuelles injections malveillantes
• Changer les mots de passe identiques ou similaires utilisés sur d'autres services (messagerie professionnelle, outils SaaS, banque en ligne)
• Activer l'authentification à deux facteurs sur le compte DreamHost et sur tous les services utilisant l'adresse email DreamHost comme contact de récupération
• Scanner les sites hébergés avec un outil de détection de malware web (Sucuri SiteCheck, Wordfence) pour détecter des injections post-intrusion
• Vérifier les logs d'accès FTP disponibles dans le panneau de contrôle pour identifier d'éventuelles connexions suspectes depuis août 2026