La empresa estadounidense de alojamiento web DreamHost ha confirmado que un intruso estuvo dentro de sus sistemas desde agosto hasta el 23 de octubre, día en que detectó el ataque: más de dos meses robando credenciales de clientes sin ser visto, informa Infobae. Los atacantes obtuvieron nombres de usuario y contraseñas del administrador de archivos y, en casos puntuales, credenciales de correo web.
Según el aviso que la compañía publicó el 29 de octubre y notificó a la fiscalía general de California, el tercero no autorizado entró al servidor que ejecuta el File Manager, la herramienta web con la que los usuarios gestionan los archivos de sus sitios, aprovechando una vulnerabilidad en un programa de terceros que la compañía no ha identificado, aunque precisa que no guarda relación con los fallos descubiertos recientemente en el software PHP.
Los datos expuestos son los usuarios y claves FTP y SFTP, los sistemas para subir archivos a un sitio, de quienes iniciaron sesión en esa herramienta durante el periodo. La compañía describió el hecho como un ataque deliberado y dijo que su equipo trabajó sin pausa para contenerlo.
El intruso también llegó a ciertos sistemas de correo web y obtuvo las credenciales de un número limitado de usuarios. DreamHost cree que, en un puñado de casos, el atacante pudo usarlas para ver el contenido de los buzones, y a esos clientes los está contactando de manera individual. El aviso presentado ante la fiscalía general de California incluye además el robo de sesiones activas de correo web: los datos que mantienen a un usuario con la sesión abierta y con los que un intruso puede entrar en una cuenta como si fuera su dueño.
«Muy inferior al 10%» de las cuentas
El análisis actual de la compañía indica que el incidente afectó a una fracción de las cuentas de correo y FTP, «bastante menos del 10%», y aclara que no todos los que recibieron el primer correo de aviso resultaron afectados, porque la cifra real fue menor que la sospechada al inicio. Un portavoz dijo a TechCrunch que el porcentaje es «muy inferior al 10%», sin dar una cifra precisa; la empresa presume de unos 400.000 clientes de pago.
Tampoco explicó por qué el ataque no se detectó hasta el 23 de octubre: alega que la investigación sigue en curso. Es la pregunta incómoda del caso, porque un acceso sostenido durante más de dos meses en un proveedor que aloja sitios web de terceros multiplica el riesgo potencial.
Qué no se vio comprometido y qué toca hacer
Sobre lo que quedó a salvo, DreamHost afirma que no ha encontrado pruebas de acceso al panel de control ni a los datos de facturación, y que no almacena números completos de tarjetas porque los pagos los gestiona un procesador externo. La notificación reconoce, eso sí, que el contenido de los correos y de los archivos del servidor FTP pudo haber quedado expuesto.
La empresa dice haber cerrado las sesiones activas de los usuarios potencialmente afectados y haber restablecido sus contraseñas, y ofrece a los afectados un año de monitorización de crédito y protección contra el robo de identidad. Sostiene que ha aplicado medidas de seguridad adicionales, que colabora con asesores legales y expertos forenses y que actualizará el aviso si descubre nuevos datos significativos.
Su recomendación a los clientes es tratar como comprometidos los usuarios y claves de quienes entraron al File Manager entre agosto y el 23 de octubre, y cambiar también esa contraseña en cualquier otro servicio donde se repitiera. Es el consejo estándar en estos casos, junto a la activación de la doble autenticación siempre que el servicio lo permita.
Comentarios 0
Los comentarios se publican tras revisión de la redacción. Sé respetuoso: no se admiten insultos ni enlaces.