Американският хостинг доставчик DreamHost наложи принудителна смяна на паролите за засегнати имейл и FTP/SFTP акаунти след инцидент, който първоначално наруши достъпа до File Manager. Компанията не е разкрила дали има неоторизиран достъп до пощенски кутии, съобщения или файлове.

От проблем с File Manager до блокиране на потребителски достъп

DreamHost започва да съобщава за проблеми с връзката към уеб интерфейса File Manager на 23 октомври. Впоследствие въздействието се разширява и компанията предприема по-широка превантивна мярка – блокира достъпа на засегнатите потребители, докато не бъдат сменени паролите им.

Според последното съобщение на доставчика всички собственици на засегнати акаунти са получили инструкции за възстановяване на достъпа. Потребителите няма да могат да влизат в съответните услуги, докато собственикът на акаунта не зададе нови идентификационни данни.

Към момента на публикуване на първоначалната информация инцидентът все още е активен, а File Manager остава недостъпен. DreamHost не е предоставил публично подробности за първопричината, мащаба на засегнатите акаунти или евентуално изтичане на информация.

Препоръка за проверка на правилата за препращане на имейли

В уведомленията до засегнатите клиенти DreamHost препоръчва да се проверят настройките на всяка имейл кутия, особено правилата за автоматично препращане. Потребителите трябва да премахнат всички адреси за препращане, които не разпознават.

Тази препоръка е важна, защото непознато правило за препращане може да позволи копия на входящи съобщения да се изпращат към външен адрес, без собственикът на пощенската кутия да забележи веднага. Подобна настройка може да бъде използвана за продължително наблюдение на кореспонденция или за прихващане на съобщения за възстановяване на пароли и други чувствителни известия.

Самата препоръка обаче не доказва, че имейл акаунти действително са били компрометирани. DreamHost не е публикувал достатъчно информация, за да се установи дали е имало неоторизиран достъп до пощенски кутии, съобщения, файлове или идентификационни данни.

Какво трябва да направят клиентите

DreamHost съветва потребителите, които са използвали старата си парола и в други платформи, да я сменят и там. Повторното използване на една и съща парола увеличава риска от компрометиране на други услуги, ако първоначалните идентификационни данни са били разкрити.

За организациите, които използват DreamHost за корпоративна поща, уебсайтове или трансфер на файлове, е разумно да предприемат няколко допълнителни проверки:

• Смяна на паролите за засегнатите акаунти и за всички други услуги, където са използвани същите идентификационни данни.
• Проверка на правилата за препращане и на останалите настройки на пощенските кутии за непознати промени.
• Преглед на наличните регистрационни файлове за необичайни влизания, промени в настройките и неочаквани FTP/SFTP сесии, ако такива данни са достъпни.
• Проверка на администраторските акаунти и ограничаване на достъпа до необходимите потребители.
• Допълнителна предпазливост при възстановяване на достъпа, включително проверка на адресите и каналите за възстановяване.

Компанията посочва и организационен проблем: тя не може да се свърже директно с всеки отделен потребител на имейл или FTP услуга. Затова собствениците на акаунти трябва да уведомят засегнатите потребители по телефон, SMS или друг алтернативен канал. Това е особено важно за хората, които може да не могат да отворят собствената си поща заради наложеното нулиране на паролата.

Липсата на подробности оставя ключови въпроси без отговор

Част от дългогодишните клиенти критикуват недостатъчната информация от доставчика. В дискусия в Hacker News потребители изразяват недоволство, че получават инструкции за възстановяване на достъпа, без ясно обяснение какво се е случило.

DreamHost е американски доставчик на уеб хостинг и регистратор на домейни, който предлага WordPress хостинг, бизнес имейл, виртуални и физически сървъри и облачни услуги. По данни на компанията тя обслужва над 400 000 клиенти в повече от 100 държави и поддържа най-малко 1,5 милиона уебсайта и приложения.

Докато не бъдат публикувани допълнителни технически подробности, остава неясно дали принудителната смяна на паролите е изцяло превантивна реакция, или е свързана с установен неоторизиран достъп. За засегнатите организации най-разумният подход е да изпълнят указанията на доставчика, да проверят настройките за достъп и препращане и да не приемат възстановяването на паролата като достатъчно доказателство, че рискът е отстранен.