La empresa estadounidense de alojamiento web DreamHost confirmó que hackers accedieron a sus sistemas desde agosto de 2026 hasta el 23 de octubre, día en que detectó el ataque. Los intrusos obtuvieron nombres de usuario y contraseñas de su administrador de archivos y, en casos puntuales, credenciales de correo web.
DreamHost explicó en un aviso a sus clientes que un tercero no autorizado entró al servidor que ejecuta el File Manager, la herramienta web con la que los usuarios gestionan los archivos de sus sitios. Según la empresa, el atacante aprovechó una vulnerabilidad en un programa de terceros.
Los datos expuestos son los usuarios y claves FTP y SFTP (sistemas para subir archivos a un sitio) de quienes iniciaron sesión en esa herramienta durante ese período. La compañía describió el hecho como un ataque deliberado y dijo que su equipo trabajó sin pausa para contenerlo.
Además, el intruso llegó a ciertos sistemas de correo web y obtuvo las credenciales de un número limitado de usuarios. DreamHost dijo creer que, en un puñado de casos, el atacante pudo usarlas para ver el contenido de buzones. A esos clientes los contacta de manera individual.
Cuántas cuentas se fueron afectadas
El análisis actual de DreamHost indica que el incidente afectó a una fracción de las cuentas de correo y FTP, bastante menos del 10%. La compañía aclaró que no todos los que recibieron el primer correo de aviso fueron afectados, porque la cifra real resultó menor que la sospechada al inicio.
Un portavoz de DreamHost dijo a TechCrunch que el número de clientes afectados es “muy inferior al 10%”, pero se negó a dar una cifra más precisa. La empresa presume de unos 400.000 clientes de pago en su red.
El portavoz tampoco explicó por qué la compañía no detectó el ataque hasta la semana pasada, y alegó que la investigación sigue en curso. Tampoco identificó la vulnerabilidad. Precisó que no guarda relación con las fallas descubiertas hace poco en el software web PHP.
El ataque también incluyó, según el aviso presentado ante la fiscalía general de California, el robo de sesiones de correo web. Son los datos que mantienen a un usuario con la sesión abierta. Con ellos, un intruso puede entrar a una cuenta como si fuera su dueño.
Qué no se vio comprometido y qué deben hacer los clientes
DreamHost afirmó que hasta ahora no encontró pruebas de que el atacante accediera a los accesos al panel de control ni a los datos de facturación. La empresa dijo que no almacena números completos de tarjetas y que los pagos los maneja un procesador externo.
La notificación enviada a los clientes reconoce que el contenido de los correos y los archivos del servidor FTP pudo haber sido accedido. La empresa cerró las sesiones activas de los usuarios potencialmente afectados y restableció sus contraseñas.
La recomendación de DreamHost es tratar como comprometidos los usuarios y claves de quienes entraron al File Manager entre agosto y el 23 de octubre. Quienes repitan esa clave en otros servicios deben cambiarla también allí.
La empresa ofrece a los afectados un año de monitoreo de crédito y protección contra robo de identidad. Sostiene que aplicó medidas de seguridad adicionales y que trabaja con asesores legales y expertos forenses.
La investigación continúa y DreamHost informó que actualizará su aviso si descubre nuevos datos significativos.
Campaña rusa infectó celulares desactualizados con solo visitar una web
Un grupo vinculado al Servicio de Inteligencia Exterior de Rusia, conocido como APT29, infectó iPhone y Android desactualizados con solo abrir ciertos sitios comprometidos, sin que la víctima hiciera clic en nada. Así lo detectó la firma francesa Sekoia, que detectó la actividad a mediados de octubre.
El código identificaba el modelo del teléfono y enviaba fallas ya corregidas por Apple y Google para robar cookies, mensajes, contraseñas y ubicación. Los dispositivos actualizados quedaron a salvo: “Un usuario con un sistema operativo al día está a salvo de estos ataques”, afirmó Sekoia.
