DreamHost dit que des intrus ont pris des mots de passe FTP et des accès webmail pendant environ deux mois

DreamHost est un grand hébergeur web et registraire de noms de domaine américain. Si vous avez un site web, un blogue ou une adresse courriel sur votre propre domaine, il y a de bonnes chances qu’il tourne chez un hébergeur comme DreamHost, voire chez DreamHost même. Le 23 octobre 2026, l’entreprise a découvert que quelqu’un s’était introduit dans le serveur de son gestionnaire de fichiers accessible par navigateur. Elle dit maintenant que l’intrus était là depuis environ août, et que des mots de passe FTP, certains accès webmail et peut-être des fichiers et des courriels ont été atteints. Voici ce que DreamHost a dit, et quoi faire si vous avez un compte chez elle.

Ce qui s’est passé

Selon l’annonce (en anglais) publiée par DreamHost le 29 octobre et la lettre d’avis (en anglais) qu’elle a déposée auprès du procureur général de la Californie le 2 novembre :

• Vers août 2026 : un attaquant a commencé à exploiter une faille dans le gestionnaire de fichiers (File Manager) de files.dreamhost.com, un outil de navigateur basé sur un logiciel tiers que les clients utilisent pour travailler sur les fichiers de leurs sites. Le dépôt en Californie indique le 15 août comme date de début.
• D’août au 23 octobre : toute personne qui s’est connectée au gestionnaire de fichiers pendant cette période a vu son nom d’utilisateur et son mot de passe FTP ou SFTP exposés. L’attaquant a aussi atteint certains systèmes webmail et obtenu les identifiants ou les renseignements de session d’un « nombre limité » d’utilisateurs webmail. Une session, c’est ce qui vous garde connecté après avoir tapé votre mot de passe; une session volée peut donc servir comme un mot de passe.
• 23 octobre : DreamHost a découvert l’accès, mis hors ligne les serveurs du gestionnaire de fichiers, corrigé la faille et réinitialisé les mots de passe des utilisateurs de courriel et de FTP/SFTP qui pouvaient être touchés. Elle a fermé leurs sessions actives le même jour.
• 29 octobre : elle a publié son annonce et dit que moins de clients étaient touchés qu’elle ne le pensait au départ.
• 2 novembre : elle a déposé un modèle de sa lettre d’avis officielle auprès du procureur général de la Californie, et dit aviser les autorités d’autres territoires comme la loi l’exige. BleepingComputer et TechCrunch (en anglais) en ont parlé le 4 novembre.

DreamHost n’a nommé ni la faille ni le logiciel tiers. Elle a dit à TechCrunch que l’attaque n’avait aucun lien avec les failles PHP récentes, et son annonce précise que ses serveurs PHP ont été corrigés en quelques heures.

Ce qui a été atteint, et ce qui ne l’a pas été

La lettre d’avis dit que les données consultées « peuvent avoir inclus » le nom d’utilisateur et le mot de passe utilisés pour le gestionnaire de fichiers ou le webmail, et que « le contenu de vos courriels et les fichiers de votre serveur FTP/SFTP peuvent aussi avoir été consultés ». L’annonce est un peu plus étroite : dans « un petit nombre de cas », DreamHost croit que l’attaquant a pu utiliser des identifiants webmail volés pour voir le contenu de boîtes de courriel, et elle communique avec ces clients un par un.

DreamHost dit n’avoir trouvé aucune preuve que les accès au panneau de contrôle ou les données de facturation aient été consultés. Elle ne conserve pas les numéros de carte complets; un fournisseur tiers traite les paiements par carte.

Qui est touché

DreamHost dit que l’incident touche « bien moins d’environ 10 % » des comptes de courriel et de FTP/SFTP qu’elle héberge. Un porte-parole a dit à TechCrunch que le nombre de clients touchés est « bien en dessous de 10 % », sans donner de chiffre exact. DreamHost compte quelque 400 000 clients payants, note TechCrunch.

Selon l’annonce, vous pourriez être touché si :

• vous, ou un utilisateur FTP/SFTP de votre compte, vous êtes connecté au gestionnaire de fichiers entre environ août 2026 et le 23 octobre 2026, ou
• un utilisateur de courriel de votre compte a été déconnecté et son ancien mot de passe a cessé de fonctionner le 23 octobre ou après. C’est DreamHost qui l’a réinitialisé.

Si vous n’avez pas reçu de courriel de DreamHost à ce sujet, l’entreprise dit que vous n’avez rien à faire, même si changer vos mots de passe reste une précaution raisonnable. Les personnes qui reçoivent un avis officiel se voient offrir un an de surveillance du crédit et de protection contre le vol d’identité par Equifax.

Pourquoi c’est important

Un mot de passe FTP ouvre les fichiers derrière un site web. Avec lui, quelqu’un peut discrètement ajouter un script malveillant, une page d’hameçonnage ou une redirection cachée à un site auquel les visiteurs font confiance, et le propriétaire peut ne rien remarquer pendant des semaines. Un accès ou une session webmail vaut souvent encore plus, parce que c’est par courriel qu’arrivent les liens de réinitialisation de mot de passe. L’une des plus vieilles ruses après une intrusion dans une boîte de courriel est d’ajouter une règle de transfert ou un filtre, pour que des copies de vos courriels continuent d’aller à l’attaquant même après le changement de mot de passe. C’est pourquoi les conseils de DreamHost portent sur la vérification des fichiers et des réglages de courriel, et pas seulement sur de nouveaux mots de passe.

C’est la deuxième histoire d’hébergement sur le blogue de Frame cette semaine. Le 4 novembre, nous avons expliqué comment une fausse mise à jour de cPGuard a volé les secrets root d’environ 2 950 serveurs d’hébergement web. Les deux incidents ne sont pas liés, mais tous deux montrent que les outils installés à côté de votre site peuvent servir de porte d’entrée.

Ce que vous pouvez faire

Si vous avez un compte DreamHost :

1. Choisissez de nouveaux mots de passe uniques pour chaque utilisateur de courriel et de FTP/SFTP du compte. Seul le titulaire du compte peut le faire, à partir du panneau de contrôle. Tapez panel.dreamhost.com dans votre navigateur plutôt que de suivre un lien.
2. Mettez à jour les mots de passe enregistrés dans vos applications de courriel, vos clients FTP et vos outils de déploiement, pour éviter les échecs de connexion et les blocages.
3. Passez en revue les fichiers de votre site pour repérer ce que vous ne reconnaissez pas : nouveaux fichiers, fichiers de thème ou d’extension modifiés, ou code inconnu en haut ou en bas des pages.
4. Vérifiez les réglages de votre webmail, surtout les règles de transfert et les filtres, et supprimez tout ce que vous n’avez pas créé.
5. Changez ce même mot de passe partout où vous l’avez utilisé. S’il protégeait un compte bancaire ou un autre compte important, surveillez aussi ces comptes de près.
6. Pensez à ce que contenaient votre boîte de courriel ou vos fichiers. S’ils contenaient des identifiants, des copies de pièces d’identité ou des données de clients, changez ces identifiants et, si vous exploitez une entreprise, vérifiez si vous avez vos propres obligations d’avis. DreamHost suggère d’en parler à votre conseiller juridique.
7. Ignorez les courriels qui vous demandent de vous connecter par un lien. DreamHost dit qu’elle ne demandera jamais votre mot de passe par courriel, et que ses courriels sur l’incident ne vous demanderont pas de vous connecter par un lien.

Si vous êtes chez un autre hébergeur, c’est quand même un bon moment pour vérifier vos règles de transfert de courriel et passer du FTP au SFTP ou aux clés SSH, si votre hébergeur l’offre.

Comment Frame peut aider

Ajoutez cette fuite à une adresse courriel vérifiée dans Frame : Frame montre ce qu’elle a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. Frame peut aussi chercher vos adresses courriel vérifiées dans la base de données de fuites de Have I Been Pwned. Les alias de courriel de Frame vous permettent aussi de donner à chaque service sa propre adresse : un faux courriel « réinitialisez votre mot de passe d’hébergement » envoyé à la mauvaise adresse est alors facile à repérer. Frame ne recueille ni ne conserve jamais les données divulguées elles-mêmes.

À lire aussi

• Une fausse mise à jour de cPGuard a volé les secrets root d’environ 2 950 serveurs d’hébergement web : un autre incident du côté des hébergeurs cette semaine, par le canal de mise à jour d’un outil de sécurité.
• Comment les voleurs d’informations dérobent vos sessions, et pourquoi un nouveau mot de passe ne suffit pas : pourquoi une session volée peut compter autant qu’un mot de passe volé.

Sources

• DreamHost, October Security Incident (en anglais), 29 octobre 2026
• DreamHost, Notice of Data Breach (en anglais, modèle de lettre déposé auprès du procureur général de la Californie, PDF), 2 novembre 2026
• Procureur général de la Californie, DreamHost, LLC breach notification listing (en anglais), 2 novembre 2026
• TechCrunch, Hackers stole DreamHost customer files and inboxes during months-long attack (en anglais), 4 novembre 2026
• BleepingComputer, DreamHost confirms data breach exposed FTP logins and webmail sessions (en anglais), 4 novembre 2026