DreamHost, noto provider statunitense di hosting e registrazione di domini, ha confermato con un comunicato del 29 ottobre 2026 una violazione che ha riguardato il suo File Manager web. Un soggetto non autorizzato ha sfruttato una vulnerabilità in un software di terze parti su cui lo strumento si basa e ha ottenuto nomi utente e password FTP/SFTP di chi aveva usato il File Manager, oltre alle credenziali di un numero limitato di utenti webmail. Nei giorni successivi la stampa specializzata ha ripreso la notizia. È un caso che interessa direttamente chi in Italia gestisce siti web, negozi online o caselle email su servizi di hosting condiviso, anche non su DreamHost, perché mostra bene come un incidente sul provider diventi un rischio per i singoli siti.

Cosa è successo

Mettendo insieme il comunicato ufficiale, BleepingComputer e Web Hosting Today, i fatti principali sono questi:

  • 23 ottobre 2026: DreamHost scopre l'accesso non autorizzato al server che gestisce il File Manager (files.dreamhost.com) e lo mette immediatamente offline. Le password degli utenti webmail coinvolti vengono azzerate e le sessioni attive chiuse. Il servizio torna online il 26 ottobre, ricostruito con protezioni aggiuntive, e il 27 l'incidente è segnato come risolto sulla pagina di stato.
  • Periodo interessato: da circa agosto 2026 fino al 23 ottobre. Chi ha usato il File Manager in questa finestra potrebbe avere le credenziali FTP/SFTP esposte.
  • Dati esposti: username e password FTP/SFTP; credenziali di un numero limitato di utenti webmail; in pochi casi l'aggressore potrebbe aver visualizzato il contenuto delle caselle, e DreamHost contatta questi clienti individualmente.
  • Dati che, secondo l'azienda, non risultano toccati: login al pannello di controllo e dati di fatturazione. I numeri completi delle carte non sono conservati da DreamHost ma da un processore di pagamento esterno. Si tratta di dichiarazioni del fornitore, l'indagine è in corso con esperti esterni.
  • Portata: DreamHost parla di una quota di account "ben al di sotto del 10%", senza fornire un numero preciso. BleepingComputer riferisce di non aver ricevuto risposta alle richieste di chiarimento. L'azienda esclude collegamenti con il software PHP e ha dichiarato di notificare le autorità di regolamentazione.

Va notato che nella fonte secondaria compare anche l'offerta di un anno di monitoraggio del credito tramite Equifax, tipica del mercato statunitense e di poca utilità per un cliente europeo; è invece rilevante il fatto che il fornitore invierà comunicazioni formali "secondo le leggi dei Paesi in cui si trovano gli utenti coinvolti".

Perché le credenziali FTP sono un bersaglio di valore

Le credenziali FTP/SFTP di un sito consentono di leggere e modificare i file dell'applicazione: è l'accesso che serve per inserire una backdoor, un web skimmer che sottrae i dati delle carte nel checkout, un redirect verso pagine di phishing o un malware per l'SEO spam. Molti attacchi a siti WordPress e a e-commerce non passano da una falla del CMS ma da credenziali di gestione ottenute altrove. Un attaccante che possiede un elenco di account FTP validi può agire con calma, anche settimane dopo, se le password non vengono cambiate. Per la webmail il rischio è diverso ma altrettanto concreto: regole di inoltro nascoste che copiano in silenzio la posta verso un indirizzo esterno, e accesso a messaggi che contengono reset password di altri servizi.

Cosa significa per le aziende italiane

Per una PMI italiana il sito e la posta ospitati su un provider estero sono spesso trattati come "infrastruttura invisibile": li ha creati il fornitore del sito e nessuno in azienda sa quali credenziali esistano. La prima conseguenza pratica è che molte organizzazioni potrebbero non sapere nemmeno di essere clienti di DreamHost, magari tramite un'agenzia web che ha attivato l'hosting a proprio nome.

Dal punto di vista del GDPR, se sul sito o nelle caselle ci sono dati personali (moduli di contatto, ordini, anagrafiche, corrispondenza), un accesso non autorizzato ai file o alla posta può costituire una violazione dei dati personali. Il titolare del trattamento ha l'obbligo di documentarla e, se c'è rischio per gli interessati, di notificarla al Garante entro 72 ore da quando ne ha avuto conoscenza; il fornitore è in genere responsabile del trattamento e deve informare il titolare senza ritardo. Conviene stabilire con anticipo, e per iscritto, chi comunica cosa a chi. Per i soggetti NIS2, un provider di hosting può rientrare tra i fornitori di servizi digitali da governare nel registro dei fornitori ICT. Questa è una lettura prudenziale e non una valutazione legale: il DPO deve decidere sul caso concreto.

Un secondo ragionamento riguarda l'igiene delle credenziali: un FTP in chiaro o con password riutilizzata è l'esempio tipico di debito di sicurezza. Il passaggio a SFTP con chiave, a un deployment da repository e ad account distinti per persona riduce l'impatto di incidenti come questo, che resteranno possibili su qualsiasi provider.

Cosa fare subito

  • Verificate se avete servizi su DreamHost, direttamente o tramite un'agenzia, e se avete ricevuto email dal fornitore riguardo all'incidente (controllando anche lo spam). Diffidate di messaggi che chiedono la password: DreamHost afferma di non farlo mai e di non inserire link di accesso nelle comunicazioni sull'incidente.
  • Cambiate le password FTP/SFTP e webmail dal pannello di controllo e non da link ricevuti per email; sostituite anche le password uguali o simili usate altrove.
  • Controllate l'integrità del sito: file modificati di recente, file PHP sconosciuti, plugin o temi non installati da voi, script esterni inattesi nelle pagine di pagamento.
  • Verificate inoltri e filtri della webmail: eliminate regole che copiano o spostano messaggi verso indirizzi esterni.
  • Aggiornate i client FTP, di posta e i sistemi di deploy che salvano le vecchie credenziali.
  • Valutate l'obbligo di notifica con il DPO, registrando comunque l'evento nel registro delle violazioni.
  • Riducete l'esposizione futura: usate SFTP con chiave o deploy automatizzato, account separati per persona, autenticazione a più fattori dove il fornitore la offre e un inventario dei servizi ospitati presso terzi.

Il numero effettivo di account coinvolti non è noto e l'indagine è in corso: potrebbero emergere nuovi dettagli, per cui vale la pena seguire la pagina di stato del fornitore.