A DreamHost confirmou acesso indevido ao servidor do seu gerenciador de arquivos e informou que credenciais de FTP e SFTP de usuários do serviço podem ter sido capturadas entre agosto e 23 de outubro de 2026. A empresa retirou o gerenciador do ar, corrigiu a vulnerabilidade e iniciou redefinições de senha. A notificação também aponta possível exposição de informações de sessões de webmail de um grupo limitado.
O alcance do incidente
O ponto de entrada descrito é o gerenciador de arquivos acessado pelo navegador. Isso importa porque o incidente pode envolver senhas usadas para acessar o servidor mesmo quando o cliente se conecta normalmente por SFTP. A criptografia do transporte protege os dados no caminho entre cliente e servidor. Ela não evita que uma aplicação vulnerável exponha uma credencial que recebeu para estabelecer a conexão.
A janela divulgada vai de aproximadamente agosto até 23 de outubro, quando a DreamHost detectou a atividade. A empresa informou que notificou usuários potencialmente afetados e tomou medidas de contenção. Também esclareceu que o grupo identificado depois da investigação era menor do que o universo de contas que havia recebido o primeiro alerta. Isso significa que receber a comunicação inicial e ter uma exposição confirmada são situações diferentes.
O possível acesso a sessões de webmail deve ser lido separadamente. A notificação aponta um grupo limitado e não fornece um total público de contas. A empresa declarou não ter encontrado evidência de acesso a dados de pagamento ou às credenciais do painel de controle. Essa informação descreve o que a investigação encontrou até o momento da comunicação e ajuda a priorizar verificações.
O que muda para quem administra um site
Se a DreamHost indicou que uma conta FTP ou SFTP pode ter sido exposta, comece pelo painel oficial e siga a redefinição indicada para aquela conta. Confirme quais sites e diretórios ela conseguia acessar. Uma senha usada em scripts de implantação ou rotinas de sincronização pode ter cópias em mais de um ambiente. Atualize as integrações autorizadas e verifique se elas voltaram a funcionar com a credencial nova.
A troca de senha fecha um caminho de acesso, mas não diz o que aconteceu enquanto a credencial antiga era válida. Se a conta tinha acesso de escrita, examine alterações inesperadas em arquivos, especialmente em locais que recebem uploads, scripts que iniciam a aplicação e arquivos de configuração. Compare os resultados com implantações conhecidas. Em um site ativo, nem toda alteração durante a janela é suspeita. O objetivo é distinguir rotina de mudanças que ninguém da equipe consegue explicar.
Preserve logs ou relatórios antes de alterar em massa os arquivos quando houver sinais de invasão. Um registro de conexão ajuda a identificar horários, usuários e operações que merecem investigação. Se o provedor oferece registros limitados, reúna também o histórico do sistema de deploy e da aplicação. Essa combinação pode ajudar a entender se um arquivo novo veio de um procedimento autorizado ou apareceu fora do fluxo normal.
O que revisar no webmail
Para uma caixa postal incluída no aviso, confira regras de encaminhamento, filtros e pastas de enviados e excluídos. Uma regra desconhecida pode manter mensagens saindo da conta mesmo depois de o usuário recuperar o acesso. Revise também sessões ou dispositivos ativos quando o serviço disponibilizar essa opção. Use a página oficial para entrar e fazer alterações, sobretudo se recebeu mensagens oferecendo links de redefinição.
Quem reutilizou a senha em outro serviço deve substituí-la por uma senha única também nesse serviço. Essa etapa reduz a chance de uma credencial obtida em um incidente funcionar em uma conta independente. Ative o segundo fator nos serviços compatíveis. Ele melhora a proteção contra novas tentativas de login, enquanto o encerramento de sessões existentes trata um problema diferente.
Como encerrar a revisão
Registre quais contas foram trocadas, que aplicações usavam cada uma e quais verificações foram concluídas. Se houve indício de acesso indevido, mantenha o caso em investigação e confirme o ponto de recuperação antes de restaurar arquivos. Para quem não recebeu aviso, a DreamHost informou que não exige ação imediata. Ainda assim, vale manter o inventário de contas atualizado para saber quem pode acessar cada site.
