要点
- 米国のレンタルサーバー DreamHost で、ブラウザでファイルを扱う File Manager が、2026年8月ごろから10月23日まで侵入されていた。
- その間に File Manager にログインした人の FTP/SFTP のユーザー名とパスワード、それに一部の Webmail のログイン情報が盗まれた。
- 盗まれた情報があれば、サイトの中身を書き換えたり、メールを読んだりできる。DreamHost は、ごく一部ではメールの中身を見られた可能性があるとしている。
何が起きたか
DreamHost が10月29日に出した発表によると、何者かが File Manager（files.dreamhost.com）の欠陥を突いて入り込んだ。File Manager は、FTP ソフトを使わずに、ブラウザからサイトのファイルを扱える道具だ。DreamHost によると、外部の会社のソフトを元に作られている。欠陥が何かは明らかにしていない。
狙われた期間は、DreamHost の発表では「2026年8月ごろから10月23日まで」。カリフォルニア州の司法長官に出された届け出では、侵入が始まった日は2026年8月15日とされている。DreamHost が気づいたのは10月23日（米国時間、金曜日）の午後で、侵入はおよそ2か月続いたことになる。
DreamHost の発表によると、盗まれたのは次のものだ。
- その期間に File Manager にログインした人の FTP/SFTP のユーザー名とパスワード
- 一部の Webmail の利用者のログイン情報
- ごく一部では、その Webmail の情報を使ってメールボックスの中身を見られた可能性がある（この人たちには DreamHost が個別に連絡している）
一方で、コントロールパネル（契約や設定を管理する画面）のログイン情報と、支払いの情報には、手が届いた形跡は今のところないとしている。
影響を受けたのは、メールと FTP/SFTP のアカウントの「10%よりかなり少ない」と DreamHost は説明している。正確な数は出していない。TechCrunch によると、DreamHost の有料の顧客はおよそ40万だ。
DreamHost は、File Manager のサーバーを止めて欠陥を直し、作り直して再開した。当たる可能性のあるメールと FTP/SFTP のパスワードを無効にし、ログイン中の状態も切った。サイトとメール自体は止まっていないが、パスワードを新しくするまで、その利用者はログインできない。直前に話題になった PHP の欠陥とは関係がないとも述べている。
日本の利用者への影響
DreamHost は米国の会社だが、海外のレンタルサーバーとして日本の個人や小さな事業者が使う例もある。DreamHost の発表では、その期間に File Manager にログインした人（またはアカウントの FTP/SFTP ユーザー）は、FTP/SFTP のユーザー名とパスワードを盗まれたものとして扱うよう求めている。Webmail は別で、DreamHost が念のためメールのパスワードを再設定した人も、当たった可能性があるとされる。ただし DreamHost は、これに当てはまっても必ず影響を受けたとは限らないとしている。
顧客の個人情報を DreamHost のサーバーに置いている事業者は、DreamHost も、法律の助言を受けるよう勧めている。
今すぐやること
DreamHost の発表の勧めをもとに、まとめる。
- パスワードを新しくする。 8月ごろから10月23日までに File Manager にログインしたなら、FTP/SFTP のパスワードは盗まれたものとして扱う。メールのパスワードが使えなくなった人も、コントロールパネルから新しくする。今も使えるパスワードでも、DreamHost は変えることを勧めている。
- 同じパスワードを使い回していないか見直す。 ほかのサービスで同じものを使っていれば、そちらも変える。
- サイトのファイルが書き換えられていないか確かめる。 覚えのないファイルや、変えた覚えのない更新日のファイルがないかを見る。
- Webmail の転送と振り分けの設定を見る。 自分で作っていない転送先や規則があれば消す。メールを外へ流し続ける仕掛けとして使われやすい。
- パスワードを聞いてくるメールを信じない。 DreamHost は、メールでパスワードを聞くことはないと言っている。コントロールパネルには、メールのリンクからではなく、自分で URL を打って入る。
背景
レンタルサーバーの管理画面や、ブラウザで使うファイル管理の道具は、多くの顧客のサイトにつながる入り口だ。ここが破られると、一度に大勢の利用者の鍵が取られる。今回は、侵入が始まってから気づくまでに約2か月かかった。TechCrunch によると、DreamHost の広報は、なぜ気づくのが遅れたかについて、調べている最中だとして答えなかった。
FTP のパスワードが盗まれると、攻撃者はサイトに不正なコードを入れて、訪れた人を偽サイトに飛ばしたり、マルウェアを配ったりできる。メールのログイン情報は、取引先へのなりすましや、ほかのサービスのパスワードの再設定の乗っ取りに使われうる。DreamHost は外部の調べる専門家を入れ、ほかの顧客向けの道具にも同じような欠陥がないか調べているとしている。
技術者向けの詳細
- 侵入されたのは Web 版 File Manager（
files.dreamhost.com）。外部のソフトの欠陥が原因とされるが、製品名と欠陥の中身は公表されていない。 - 期間: 2026年8月ごろ（カリフォルニア州の届け出では 2026-08-15）〜 2026-10-23（米国時間）。
- 影響: File Manager にログインした FTP/SFTP ユーザーの認証情報。一部の Webmail のログイン情報（BleepingComputer が引く通知書では、認証情報を含むセッションの情報）。
- DreamHost によると、コントロールパネルの認証情報と支払いの情報への接触の形跡はない。カードの番号はすべては保存していない。
- パスワードの再設定はコントロールパネルからアカウントの持ち主だけができる。反映までは最大15分。メールソフト・FTP クライアントに保存した古いパスワードの更新も要る。
- サイトの改ざんの点検の例（SSH で入れる場合）。期間内に変わったファイルを並べて、覚えのないものがないか見る:
find ~/ -type f -newermt "2026-08-01" ! -newermt "2026-10-24" -ls
- PHP・JS のファイルに覚えのない難読化されたコードや、外部へのリダイレクトがないかも見る。WordPress なら、知らない管理者ユーザーやプラグインがないか確かめる。
- Webmail の転送・振り分けの規則、自動返信の設定、送信済みフォルダに覚えのない送信がないかを確かめる。
- DreamHost の通知は、メール内のリンクからのログインを求めない。
panel.dreamhost.comを直接開く。 - 通知を受けた米国の人には Equifax の信用監視が1年分提供される（BleepingComputer の報道）。
