DreamHost 确认遭长期网络攻击，客户邮件与凭证被窃

网站托管服务商 DreamHost 已确认，黑客在对其系统长达数月的网络攻击中窃取了客户电子邮件和凭证。该公司上周四披露了这起泄露事件，此前事件已引发持续数天的服务中断，期间公司重置了部分客户的密码。

根据 DreamHost 提交给美国加州总检察长的数据泄露通知，攻击始于今年八月，持续数月未被发现。攻击者通过入侵系统获取了会话令牌，从而可绕过密码验证，像合法用户本人一样进入系统。

事件经过

DreamHost 上周四对外披露了这起数据泄露事件。按照公司提交给美国加州总检察长的数据泄露通知，攻击的起点是今年八月，此后在数月时间里一直未被察觉。也就是说，从入侵发生到被公开确认，中间隔了一段相当长的潜伏期。

披露之前，这起事件已经造成持续数天的服务中断。中断期间，DreamHost 对部分客户的密码进行了重置。公司确认，黑客在这轮长期攻击中窃取了客户的电子邮件和凭证，受影响范围涉及托管平台上的客户账户。

DreamHost 表示，黑客把其文件管理器中的一个未指明漏洞作为初始入侵途径。文件管理器属于 Web 应用，日常涉及文件上传、路径遍历、权限校验等敏感操作，攻击面相对较大，因此常被视为需要重点加固的组件。

官方没有披露该漏洞的具体类型，路径遍历、任意文件上传、命令注入等可能性都未被点名。不过从攻击者最终能够获取会话令牌这一结果看，该漏洞可能允许其在服务器端执行操作，或读取服务器上的敏感数据。

在拿到入口之后，攻击者的关键动作是窃取会话令牌。这类令牌的作用是让用户在输入密码后保持登录状态，属于 Web 应用维持身份认证的核心机制，一旦外泄，账户的访问控制强度便直接受到削弱。

会话令牌被盗后，最直接的问题是密码验证可被绕过。攻击者无需知道用户的实际密码，就能以合法用户的身份进入系统，这也是本次事件被视为风险核心的原因。

其次是访问的持久性。在令牌有效期内，攻击者可以较长时间保持对账户的访问，而不必反复触发登录流程。对于托管服务商的客户而言，单个账户往往关联多个网站、数据库和邮件系统，一个令牌泄露可能带来连锁影响。

来源分析还提到横向移动的可能：托管平台的客户账户之间、账户与下游资源之间存在关联，攻击者若借一个入口站稳，便可能向更多资源扩展。这一判断基于托管业务的账户结构，并非已确认的受害范围。

DreamHost 的应对措施是重置部分客户密码。从机制上看，强制重置密码会使现有会话令牌失效，系统随之作废旧令牌并生成新令牌，从而切断攻击者借令牌维持的访问通道。

服务中断持续了数天，这一时长从侧面反映出受影响账户的规模以及重置流程的复杂程度。公司在上周四披露事件时，已确认客户电子邮件和凭证在此次攻击中被窃取。

目前公开的信息仍有限：官方未说明具体受影响客户数量，也未披露漏洞的技术类型和修复细节。已明确的事实包括攻击自八月开始、持续数月未被发现，以及入口为文件管理器漏洞。

这起事件再次说明，会话管理是身份认证中的薄弱环节。即便密码策略足够严格，令牌一旦泄露仍可完全绕过认证。来源建议的措施包括缩短令牌有效期、实施令牌与 IP 或设备指纹的绑定，以及支持令牌主动吊销。

文件管理器这类直接面向用户、又涉及文件系统操作的 Web 组件，需要加强输入校验、权限最小化和漏洞监控。托管服务商本身也是供应链攻击的高价值目标，单个平台的泄露可能波及大量下游网站和客户。

检测与响应速度同样值得关注。攻击持续数月才被发现，说明日志审计和异常行为检测存在不足；部署会话异常检测，例如对异地登录、令牌复用发出告警，有助于缩短发现时间。事件响应则需兼顾通知、隔离和凭证轮换。