DreamHost'un vermeyeceği bir sayı var: kaç müşterisinin gerçekten etkilendiği. Söylediği şu: yetkisiz bir üçüncü taraf, 2026 Ağustos'undan 23 Ekim Cuma günü öğleden sonraya — şirketin fark ettiği ana — kadar files.dreamhost.com adresindeki tarayıcı tabanlı Dosya Yöneticisi'ni çalıştıran sunucunun içindeydi.
Bu, giriş işlemlerine komşu bir araçta iki aydan fazla kalma süresi demek; üstelik yaklaşık 400 bin ücretli müşterisi olduğunu duyuran bir barındırma sağlayıcısında. DreamHost buna "kasıtlı bir saldırı" diyor.
Ne alındı
Şirketin 29 Ekim tarihli olay duyurusuna göre:
- FTP/SFTP kullanıcı adları ve şifreleri: Ağustos ile 23 Ekim arasında Dosya Yöneticisi'ne giriş yapan kullanıcılarınki. Tavsiye net: "bu kullanıcı adlarını ve şifreleri ele geçmiş kabul edin." - Webmail kimlik bilgileri: "sınırlı sayıda" posta kutusu kullanıcısı için. Bu şifreler sıfırlandı ve aynı gün etkin oturumlar sonlandırıldı. DreamHost, "az sayıda vakada" saldırganın bu bilgileri posta kutusu içeriğini görüntülemek için kullanmış olabileceğini düşünüyor; o müşterilere tek tek ulaşılıyor. - Giriş noktası, Dosya Yöneticisi'nin altındaki üçüncü taraf yazılımda bulunan bir açıktı. Şirket ne yazılımın ne de açığın adını veriyor. Olayın son PHP sunucu güncellemeleriyle ilgisi olmadığını söylüyor: PHP sunucuları yamalar çıkar çıkmaz saatler içinde güncellendi ve web uygulama güvenlik duvarı, yamalar dağıtılmadan önceki günlerde "on binlerce" saldırı denemesini engelledi.
Şirket, kontrol paneli girişlerine veya faturalama bilgilerine erişildiğine dair kanıt bulunmadığını, tam kart numaralarının saklanmadığını belirtiyor.
Kimsenin sabitlemediği sayı
DreamHost'un kapsam tahmini, e-posta ve FTP/SFTP hesaplarının "yaklaşık yüzde 10'unun oldukça altında" — bir tavan, bir sayı değil. Üstelik bu oran hesaplara ilişkin; şirketin pazarladığı 400 bin müşteri sayısına değil. Yani tavan bile bir müşteri sayısına dönüşmüyor.
İkinci bir boşluk daha var. Şirketin Kaliforniya başsavcılığına yaptığı ihlal bildiriminde saldırganın oturum belirteçleri (session token) ele geçirdiği anlatılıyor — kullanıcıyı oturumda tutan, böylece saldırganın şifreyi hiç öğrenmeden o kullanıcı gibi davranmasını sağlayan bilgiler. Kamuya açık duyuru ise çalınan kullanıcı adı ve şifrelerden söz ediyor. İkisi aynı anda doğru olabilir; aradaki fark açıklanmadı. Bir sözcü, süregelen soruşturmayı gerekçe göstererek ihlalin neden iki ay fark edilmediğini söylemekten kaçındı.
Bir FTP şifresi neden göründüğünden kötü
Bir FTP/SFTP hesabı, barındırılan bir siteye dosya düzeyinde yazma yetkisidir. Elinde tutan kişi sayfaları değiştirebilir, betik veya yönlendirme enjekte edebilir, ziyaretçilerin yükleyeceği zararlı içerik yerleştirebilir. DreamHost'un kendi önerileri bir kalıcılık kontrol listesi gibi: "site dosyalarınızda tanımadığınız değişiklikler var mı bakın" ve "webmail ayarlarınızı, özellikle yönlendirme kuralları ve filtreleri, kendiniz kurmadığınız bir şey var mı diye kontrol edin."
Paylaşımlı barındırma için bu tek şirketlik değil, bir tedarik zinciri sorunudur. O hesaplarda çalışan siteler; enjekte edilmiş bir betiği fark edecek güvenlik ekibi olmayan küçük işletmelere, kulüplere ve kampanyalara ait.
Sınırlama ve hukuki kuyruk
Dosya Yöneticisi sunucusu devre dışı bırakılıp adli inceleme için korundu; araç ek izlemeyle yeniden kuruldu ve 26 Ekim'de geri geldi, olay 27 Ekim'de çözüldü olarak işaretlendi. DreamHost iç kimlik bilgilerini yeniledi, dış adli bilişim firmalarıyla anlaştı, diğer müşteriye dönük araçlarını benzer açıklar için gözden geçiriyor ve düzenleyicilere bildirimde bulunuyor.
Şifre sıfırlama e-postaları, soruşturma etkilenen grubu daraltmadan önce, olayın keşfedildiği hafta sonu gönderildi — şirket artık sıfırlama e-postası alan herkesin etkilenmediğini söylüyor. 4 Kasım'da hukuk firması Strauss Borrelli, olay tarihini 15 Ağustos olarak göstererek olası bir toplu davayı incelediğini duyurdu.
Çıkarılacak ders
Bu hikâyede olağan olan şey açık. Olağandışı olan, kalma süresi: bir dosya yöneticisinin içinde, kimse izlemeden iki ay. Her gün kimlik bilgisi işleyen bir araç, erişim kayıtları en çok uyarı hak eden araçtır.
Ağustos ile 23 Ekim arasında DreamHost'un Dosya Yöneticisi'ne giriş yapan müşteriler bu FTP/SFTP şifrelerini hemen değiştirmeli, aynı şifreyi kullanan diğer hesapları güncellemeli, site dosyalarını ve posta filtrelerini denetlemeli. DreamHost e-postayla asla şifre istemediğini ve olay e-postalarının bağlantı üzerinden giriş talep etmediğini belirtiyor.
