DreamHost confirma roubo de e-mails e credenciais de clientes em ataque de meses

A DreamHost confirmou, em notificação enviada ao gabinete do procurador-geral da Califórnia, que hackers tiveram acesso a e-mails e credenciais de clientes durante um ataque que começou em agosto de 2026 e só foi divulgado publicamente em 29 de outubro. A empresa é uma das maiores provedoras de hospedagem compartilhada, VPS e e-mail do mundo, com cerca de 400 mil clientes pagantes, e é usada por muitos desenvolvedores e pequenas empresas brasileiras para hospedar sites em WordPress↳WordPress9 conteúdosAndroid push notifications com Quasar Framework, Firebase e integração com WordPressDev (Back & Front) · mai 2019Simplificando a acessibilidade de documentos: introduzindo a integração do ONLYOFFICE DocSpace com WordPress e DrupalDev (Back & Front) · abr 2024Como criar seu site WordPress com um único prompt de IA em minutos?Dev (Back & Front) · mar 2025Ver tudo em Dev (Back & Front) →, domínios e contas de e-mail corporativo.

O caso veio a público depois que um apagão afetou os sistemas da DreamHost por vários dias seguidos. Durante a instabilidade, a empresa resetou senhas de parte dos clientes sem detalhar inicialmente o motivo. Só depois, no documento enviado às autoridades americanas, ficou claro que o apagão era consequência direta de uma invasão que já durava meses, segundo reportagem do TechCrunch.

Como os hackers entraram

Segundo a DreamHost, os invasores exploraram uma vulnerabilidade não especificada no gerenciador de arquivos da plataforma, o painel que clientes usam para armazenar e editar arquivos dos próprios sites. A empresa fez questão de dizer que a falha não tem relação com as vulnerabilidades recentemente descobertas no PHP, afastando a hipótese mais óbvia para quem acompanha o ecossistema.

A partir dessa brecha, os hackers conseguiram roubar tokens de sessão, as credenciais temporárias que mantêm um usuário autenticado depois do login inicial. Na prática, um token de sessão roubado permite que o invasor entre no sistema se passando pelo usuário legítimo sem precisar da senha nem de autenticação em duas etapas, porque a sessão já está validada.

Procurada pelo TechCrunch, a DreamHost não explicou por que o ataque só foi detectado meses depois de ter começado, nem qual era exatamente a vulnerabilidade explorada, citando investigação em andamento. A empresa também não divulgou o número exato de clientes afetados, apenas uma estimativa vaga:

Bem menos de 10% dos clientes.

Porta-voz da DreamHost, em declaração ao TechCrunchWell under 10%.

Sobre uma base de 400 mil clientes pagantes, esse percentual pode representar dezenas de milhares de contas, mesmo sendo descrito como uma fração pequena do total.

Por que isso importa para quem desenvolve no Brasil

A DreamHost não é uma empresa brasileira, mas é uma opção comum para devs freelancers, agências pequenas e startups no Brasil que precisam de hospedagem barata com painel próprio, domínio e e-mail profissional no mesmo lugar. Quem usa o gerenciador de arquivos da plataforma para subir builds, editar wp-config.php direto no servidor ou guardar backups de banco de dados↳Banco de dados134 conteúdosSQL ou NoSQL: eis a questão!!Data · mar 2020Banco de dados: como organizar e dar segurança para milhões de dados de loteriasData · mai 20215 serviços gratuitos na cloud para bancos de dados PostgresData · fev 2025Ver tudo em Data → é exatamente o tipo de cliente que a falha pode ter afetado.

O roubo de tokens de sessão também é relevante além do painel da DreamHost. Se o mesmo e-mail corporativo hospedado lá é usado para recuperar senha de outros serviços (GitHub, provedores de nuvem, ferramentas de CI/CD↳CI/CD23 conteúdosCI/CD Mobile: o caos invisível que separa times comuns de times de alta performanceDev (Back & Front) · abr 2026Lambda: implementando com GitLab CI/CD e Terraform para Integração SFTP, S3 e Databricks em GoDev (Back & Front) · nov 2023Publicando sua aplicação Web Python no WebApp do Azure e configurando o CI/CD da sua aplicaçãoDevSecOps · abr 2019Ver tudo em DevSecOps →), um invasor com acesso à caixa de entrada pode encadear o ataque e comprometer contas fora da DreamHost. Esse é o tipo de risco em cascata que breaches de hospedagem costumam gerar e que nem sempre aparece no comunicado oficial.

Checklist: o que verificar agora

Para quem tem conta na DreamHost, especialmente se usa o gerenciador de arquivos, vale rodar uma checagem rápida:

1. Trocar a senha do painel DreamHost e de qualquer e-mail hospedado lá, mesmo que a empresa já tenha forçado um reset.
2. Revisar regras de encaminhamento automático nas caixas de entrada: é um truque clássico de persistência depois de um vazamento de credenciais.
3. Rotacionar qualquer segredo que estivesse salvo em arquivos acessíveis pelo gerenciador, como DATABASE_URL, chaves de API de integrações e credenciais de SMTP.
4. Verificar se arquivos como .env ou dumps de banco de dados ficaram expostos no armazenamento de arquivos durante o período do ataque, de agosto a outubro de 2026.
5. Ativar ou revisar autenticação em duas etapas nas contas que dependem do e-mail hospedado na DreamHost para recuperação de senha.
6. Conferir logs de acesso disponíveis no painel em busca de IPs ou horários incomuns no mesmo intervalo.

O que ainda está em aberto

A DreamHost deixou mais perguntas do que respostas até agora. A empresa não revelou qual vulnerabilidade específica foi explorada no gerenciador de arquivos, não explicou por que o ataque passou meses sem ser detectado e não deu um número preciso de clientes atingidos, apenas a estimativa de que é "bem menos de 10%" da base. Também não ficou claro se os e-mails roubados incluíam o conteúdo das mensagens ou só metadados de acesso.

Enquanto a investigação da DreamHost continua, a recomendação prática para quem depende da plataforma é tratar o período de agosto a outubro de 2026 como uma janela de exposição e agir como se credenciais armazenadas ali tivessem sido vistas por terceiros, trocando tudo que não foi trocado ainda.

Fonte: TechCrunch