DreamHost subit le vol de courriels et d’identifiants clients

Contexte de l’attaque

DreamHost, hébergeur web comptant environ 400 000 clients payants, a confirmé qu’une intrusion a débuté en août 2026 et s’est poursuivie pendant plusieurs mois. L’incident a été rendu public après une interruption de service de plusieurs jours, durant laquelle l’entreprise a réinitialisé certains mots de passe. Selon le dépôt de notification de violation auprès du procureur général de Californie, le nombre de clients touchés reste inférieur à 10 %, sans précision supplémentaire.

Mécanisme de compromission

Les hackers ont exploité une vulnérabilité non spécifiée du gestionnaire de fichiers de DreamHost, outil utilisé par les clients pour stocker et manipuler leurs données sur les serveurs. Cette faille a permis l’extraction de jetons de session, des identifiants cryptographiques qui maintiennent l’utilisateur authentifié après la saisie du mot de passe. Une fois en possession de ces jetons, un attaquant peut reproduire la session légitime et accéder aux ressources du compte sans passer par le processus d’authentification classique. Le vol de jetons représente ainsi un vecteur d’accès persistant, difficile à détecter tant que les sessions restent actives.

Le rapport indique que la vulnérabilité n’est pas liée aux récentes failles découvertes dans le logiciel PHP, ce qui suggère une faiblesse propre au code du gestionnaire de fichiers ou à son intégration avec le système d’authentification. L’absence de détails techniques empêche d’identifier si la faille était une injection SQL, une traversée de répertoire ou une mauvaise configuration des permissions.

Conséquences pour les clients et réponses de DreamHost

Les données compromises comprennent les courriels stockés sur les serveurs ainsi que les identifiants d’accès, ce qui expose les victimes à des campagnes de phishing ciblées, à l’usurpation d’identité et à la récupération de données sensibles contenues dans les messages. La réinitialisation des mots de passe, bien que nécessaire, ne neutralise pas les jetons déjà volés, qui restent valides tant qu’ils n’ont pas expiré ou été révoqués.

DreamHost n’a pas expliqué pourquoi la compromission n’a été détectée que plusieurs semaines après son lancement. Cette latence indique probablement un manque de surveillance en temps réel des anomalies de session ou une absence de corrélation entre les alertes de l’infrastructure et les comportements suspects. L’entreprise a toutefois déclaré qu’elle menait une enquête en cours et qu’elle renforcera ses contrôles de sécurité, notamment en revoyant les mécanismes de génération et de révocation des jetons.

Pour les clients, la recommandation immédiate consiste à révoquer tous les jetons actifs via le tableau de bord, à activer l’authentification à deux facteurs et à surveiller les activités inhabituelles dans leurs boîtes mail. Sur le plan technique, l’incident souligne l’importance de sécuriser les interfaces de gestion de fichiers, d’appliquer des mises à jour régulières et de mettre en place une journalisation exhaustive des accès afin de détecter rapidement les comportements anormaux.