Hostingprovider DreamHost heeft bekendgemaakt dat bij een gerichte aanval inloggegevens van klanten zijn gestolen. Het gaat om wachtwoorden en gebruikersnamen voor ftp- en sftp-accounts en om inloggegevens van een beperkt aantal webmailgebruikers. Volgens de melding van het bedrijf is minder dan 10 procent van alle bij DreamHost ondergebrachte mail- en ftp/sftp-accounts door het incident getroffen.
De aanval draaide om de File Manager van DreamHost, een browsergebaseerde tool waarmee klanten bestanden van hun websites kunnen aanpassen. Die tool is volgens DreamHost gebouwd op software van een derde partij. Een aanvaller maakte misbruik van een kwetsbaarheid in deze omgeving en kon daardoor gegevens onderscheppen van klanten die via ftp en sftp inlogden.
Aanval liep tot 23 oktober
DreamHost meldde op 23 oktober via de eigen statuspagina dat het een incident rond de dienstverlening onderzocht. Het bedrijf besloot toen de mailwachtwoorden van verschillende klanten te wijzigen. Kort daarna volgde ook een reset van wachtwoorden voor ftp- en sftp-accounts.
Uit een datalekmelding aan de procureur-generaal van de Amerikaanse staat Californië blijkt dat de diefstal van ftp- en sftp-inloggegevens plaatsvond tussen augustus en 23 oktober van dit jaar. DreamHost heeft niet bekendgemaakt hoeveel klanten of accounts exact zijn getroffen. De provider spreekt in algemene termen over minder dan 10 procent van alle betrokken mail- en ftp/sftp-accounts.
Naast de File Manager-aanval kreeg de aanvaller volgens DreamHost ook toegang tot bepaalde webmailsystemen. Daarbij zijn inloggegevens van een beperkt aantal webmailgebruikers buitgemaakt. Dezelfde dag dat het incident werd vastgesteld, heeft DreamHost de wachtwoorden van getroffen klanten gereset en actieve webmailsessies beëindigd.
In enkele gevallen mailboxinhoud bekeken
DreamHost meldt dat de aanvaller in een klein aantal gevallen de gestolen inloggegevens heeft gebruikt om de inhoud van mailboxen te bekijken. Klanten bij wie dit is gebeurd, zouden individueel worden geïnformeerd. Verdere details over de aard van de bekeken berichten, de duur van de toegang of de precieze omvang van deze deelgroep zijn niet bekendgemaakt.
De bevestigde feiten wijzen op twee verschillende risicogebieden: toegang tot websitebestanden via ftp/sftp en toegang tot e-mail via webmail. Voor organisaties kan dat ingrijpend zijn, omdat hostingomgevingen vaak worden gebruikt voor publieke websites, formulieren, klantcommunicatie en operationele e-mail. Voor particulieren kan vooral toegang tot mailboxen gevoelig zijn, omdat daarin vaak persoonlijke communicatie en accountgerelateerde informatie staat.
Waarom ftp- en webmailaccounts gevoelig zijn
Ftp- en sftp-accounts geven doorgaans toegang tot bestanden op een webhostingomgeving. Als een aanvaller over geldige inloggegevens beschikt, kan dat gevolgen hebben voor de integriteit van een website of voor bestanden die in de hostingomgeving staan. Uit de beschikbare informatie blijkt niet dat DreamHost melding maakt van aangepaste websites of geplaatste malware; bevestigd is alleen de diefstal van inloggegevens en, in een klein aantal gevallen, het bekijken van mailboxinhoud.
Webmailaccounts vormen een ander risico. Een mailbox kan toegang geven tot communicatie met klanten, leveranciers of privécontacten. Ook kan e-mail een rol spelen bij wachtwoordherstel voor andere diensten. DreamHost heeft bevestigd dat actieve webmailsessies van getroffen klanten zijn beëindigd en dat wachtwoorden zijn gereset.
Analyse: afhankelijkheid van beheerportalen blijft kwetsbaar punt
De aanval laat zien hoe aantrekkelijk hostingbeheerportalen zijn als doelwit. Eén kwetsbaarheid in een centrale webtool kan impact hebben op meerdere soorten klantaccounts. In dit geval noemt DreamHost expliciet de File Manager, een browsergebaseerde beheerfunctie op basis van third-party software. Dat onderstreept het risico van componenten die diep in klantomgevingen zijn geïntegreerd, maar deels afhankelijk zijn van software buiten de directe ontwikkeling van de hostingprovider.
Daarmee is niet gezegd dat elke vergelijkbare beheerfunctie onveilig is. Wel maakt het incident duidelijk dat een kwetsbaarheid in een schijnbaar praktische tool, bedoeld om websitebestanden makkelijk te beheren, gevolgen kan hebben buiten die tool zelf. Wanneer inloggegevens voor ftp, sftp of webmail kunnen worden buitgemaakt, raakt een incident direct aan de vertrouwelijkheid en controle over klantomgevingen.
DreamHost zegt de beveiliging aan te scherpen om een vergelijkbaar incident in de toekomst te voorkomen. Welke technische maatregelen het bedrijf precies neemt, is op basis van de beschikbare informatie niet gespecificeerd.
Bron: security.nl
