✨︎ Resumen (TL;DR):
- DreamHost confirmó que un intruso explotó una vulnerabilidad en File Manager y obtuvo credenciales FTP/SFTP.
- La empresa calcula que el incidente alcanzó bastante menos del 10% de las cuentas de correo y FTP/SFTP, sin dar un total preciso.
- Desactivó el gestor, cerró sesiones y restableció contraseñas mientras continúa la investigación.
DreamHost confirmó una brecha en su gestor web de archivos después de que un intruso explotó una vulnerabilidad y obtuvo nombres de usuario y contraseñas de FTP/SFTP. El acceso no autorizado, detectado el 23 de octubre de 2026, también expuso credenciales de un grupo limitado de cuentas de correo y pudo permitir la consulta de algunos buzones.
La intrusión alcanzó las credenciales de archivos
File Manager es un gestor web de archivos que permite administrar desde el navegador los archivos de un sitio alojado en DreamHost. Las credenciales FTP y SFTP asociadas también sirven para acceder a esos archivos mediante programas de transferencia.
DreamHost indicó que deben considerarse comprometidas las credenciales utilizadas para entrar a File Manager desde aproximadamente agosto y hasta ese día. Tras detectar el acceso, la compañía desactivó el servicio, cerró sesiones y restableció las contraseñas de las personas que podían haber quedado afectadas.
Tener expuesta una contraseña de archivos no demuestra que todos los sitios asociados hayan sido modificados. DreamHost no ha publicado una cifra de sitios alterados y todavía investiga el alcance de la intrusión.
El correo quedó en un grupo más reducido
El tercero también pudo llegar a determinados sistemas de webmail y obtener credenciales de un número limitado de usuarios. En una pequeña cantidad de casos, DreamHost considera posible que esas credenciales se hayan usado para consultar el contenido de los buzones; por eso contacta a esos clientes de manera individual.
El aviso menciona además información de sesión de algunos usuarios de webmail. Estos datos pueden permitir que alguien conserve el acceso a una cuenta después de que el usuario inició sesión. DreamHost asegura que cerró las sesiones de las personas que podían verse afectadas.
«Menos del 10%» no es un total de personas
DreamHost estima que el incidente afectó a bastante menos del 10% de las cuentas de correo y FTP/SFTP alojadas en su plataforma. Ese porcentaje se refiere a cuentas de esos servicios, no a una cifra confirmada de personas, empresas o sitios web. La compañía no ha informado un total preciso.
Recibir el aviso inicial tampoco confirma por sí solo que una cuenta haya sido alcanzada. DreamHost explica que tomó medidas preventivas mientras investigaba, por lo que no todas las personas notificadas resultaron afectadas.
Si una contraseña de correo o FTP/SFTP que ya funcionaba sigue funcionando y el usuario no la cambió, la investigación de la compañía indica hasta ahora que no quedó expuesta. Aun así, DreamHost recomienda cambiarla como precaución y consultar a soporte si existen dudas sobre la cuenta.
Qué deben revisar los clientes
Las cuentas afectadas siguen activas, pero necesitan una nueva contraseña para que sus usuarios vuelvan a iniciar sesión. Solo el titular de la cuenta principal puede establecerla desde el panel de control. Después, hay que actualizarla en los programas de correo y de transferencia que la tengan guardada.
DreamHost también recomienda:
- Cambiar en otros servicios cualquier contraseña igual o similar a una que se haya usado en DreamHost.
- Revisar los archivos del sitio en busca de modificaciones no reconocidas.
- Comprobar las reglas de reenvío y los filtros del correo para detectar configuraciones que el usuario no haya creado.
La compañía advierte que sus mensajes sobre el incidente no piden contraseñas ni solicitan iniciar sesión mediante un enlace. Para evitar intentos de suplantación, recomienda escribir directamente la dirección del panel en el navegador.
A las personas afectadas, DreamHost les ofrece un año de monitoreo de crédito y protección contra robo de identidad mediante Equifax. Las condiciones deben consultarse en la notificación recibida. El monitoreo puede ayudar a detectar señales de robo de identidad, pero no sustituye la revisión de archivos ni de las reglas de correo.
DreamHost corrigió la falla, pero el análisis continúa
La empresa asegura que corrigió la vulnerabilidad, conservó el servidor afectado para el análisis forense y reconstruyó File Manager con medidas adicionales antes de volver a ponerlo en línea. También incorporó a especialistas externos para investigar el incidente.
DreamHost no ha detallado públicamente qué falla fue explotada. Un portavoz dijo a TechCrunch que no estaba relacionada con las vulnerabilidades recientes de PHP.
Hasta ahora, la compañía afirma que no ha encontrado indicios de acceso a las credenciales del panel de control ni a los datos de facturación. Ese dato refleja el estado actual de una investigación que sigue abierta.
Para los clientes que almacenan datos de terceros, DreamHost recomienda consultar sus posibles obligaciones con asesores legales.
El alcance final todavía no tiene una cifra: DreamHost no ha dicho cuántos sitios fueron modificados ni cuántas cuentas resultaron afectadas. Mientras continúa el análisis forense, cambiar las credenciales indicadas y revisar archivos, reenvíos y filtros son las medidas concretas para los clientes potencialmente afectados.
