DreamHost'ta dosya yöneticisindeki açıkla FTP ve SFTP parolaları çalındı

ABD’li barındırma (hosting) ve alan adı şirketi DreamHost, 23 Ekim öğleden sonra fark ettiği bir saldırıda, müşterilerin sitelerindeki dosyalarla tarayıcı üzerinden çalışmak için kullandığı files.dreamhost.com adresindeki dosya yöneticisinin sunucusuna yetkisiz erişildiğini açıkladı. Şirketin 29 Ekim’de yayımladığı açıklamaya göre saldırgan, dosya yöneticisinin üzerine kurulduğu üçüncü taraf yazılımdaki bir açığı kullandı ve yaklaşık Ağustos 2026 ile 23 Ekim arasında bu araca giriş yapan kullanıcıların FTP ve SFTP kullanıcı adlarını ve parolalarını ele geçirdi. BleepingComputer 4 Kasım’da, DreamHost’un etkilenen kişilere gönderdiği resmî ihlal bildiriminde de ihlalin Ağustos 2026’dan şirketin olayı fark ettiği 23 Ekim’e kadar sürdüğünün belirtildiğini yazdı.

Etkilenenler

DreamHost’a göre saldırgan bazı web posta (webmail) sistemlerine de ulaştı ve sınırlı sayıda web posta kullanıcısının giriş bilgilerini ele geçirdi. Şirket bu parolaları aynı gün sıfırladığını ve açık oturumları kapattığını belirtiyor. DreamHost’a göre az sayıda durumda saldırgan bu bilgilerle e-posta kutularının içeriğini görmüş olabilir ve şirket bu müşterilerle tek tek iletişime geçiyor. Şirket saldırının kasıtlı olduğunu ve kontrol paneli giriş bilgilerine ya da fatura bilgilerine erişildiğine dair bir kanıt bulmadığını açıkladı. DreamHost’a göre kart numaraları şirkette saklanmıyor, ödemeleri üçüncü taraf bir ödeme kuruluşu işliyor.

Şirketin şu anki değerlendirmesine göre olay, DreamHost’ta barındırılan e-posta ve FTP/SFTP hesaplarının yüzde 10’undan çok daha azını etkiledi. DreamHost ilk aşamada bildirim gönderdiği herkesin etkilenmediğini, etkilendiği bilinen müşteri sayısının başta düşünülenden az olduğunu belirtiyor. Şirket kaç hesabın etkilendiğini açıklamadı.

Alınan önlemler

DreamHost’a göre şirket dosya yöneticisi sunucularını kapattı, açığı giderdi, etkilenmiş olabilecek kullanıcıların oturumlarını sonlandırıp parolalarını sıfırladı ve sunucuyu adli inceleme için korumaya aldı. Şirket, ilgili düzenleyici kurumları bilgilendirdiğini ve yasaların gerektirdiği ülkelerde resmî bildirimler göndereceğini açıklamıştı. BleepingComputer’a göre resmî bildirimlerde etkilenenlere Equifax üzerinden bir yıllık kredi izleme ve kimlik hırsızlığı koruması sunuluyor.

DreamHost, etkilenen kullanıcıların başka hesaplarda aynı ya da benzer parolayı kullanıyorsa onları da değiştirmesini, site dosyalarında tanımadıkları değişiklikleri kontrol etmesini ve web postadaki yönlendirme kurallarıyla filtreleri incelemesini öneriyor. Şirket, kendisinin hiçbir zaman e-postayla parola istemediğini ve olay e-postalarının bir bağlantı üzerinden giriş yapılmasını istemeyeceğini hatırlatıyor.