DreamHostでFTP認証情報が流出 Webメールとサイト運用で確認する点

米ホスティング事業者DreamHostは2026年10月29日付の発表で、ブラウザー版File Managerへの不正アクセスにより、FTP／SFTPの認証情報と一部のWebメール利用者の認証情報に第三者がアクセスしたと明らかにしました。2026年8月ごろから10月23日までにFile ManagerへログインしたFTP／SFTP利用者について、同社はユーザー名とパスワードを侵害されたものとして扱うよう求めています。対象者は契約アカウントの管理画面からパスワードを再設定し、保存済みの接続設定も更新します。

10月23日に検知しFile Managerを停止

DreamHostの事件報告によると、同社は10月23日にFile Managerのサーバーへの不正アクセスを発見し、サーバーを停止して脆弱性に対処しました。File Managerは第三者製ソフトウェアを使った、Webサイトのファイルをブラウザーから管理するためのサービスです。同社は、攻撃者がそのソフトウェアの脆弱性を悪用してFTP／SFTPのユーザー名とパスワードにアクセスし、一部のWebメールシステムにも到達したと説明しています。発表には、その脆弱性を識別するCVE番号は記載されていません。

DreamHostは影響した可能性のあるアカウントのパスワードをリセットし、アクティブなセッションを終了しました。Webメールでは、少数のケースで攻撃者が認証情報を使ってメールボックスの内容を閲覧した可能性があるとして、該当する顧客への個別連絡を進めています。同社の発表時点では、契約管理画面のログイン情報や請求情報にアクセスされた証拠は見つかっていません。また同社は、再構築したFile Managerに追加の対策と監視を導入して再開したと説明しています。

FTP／SFTPとメールは別々に対象を確認

FTP／SFTPでは、契約者本人だけでなく、契約下の利用者が対象期間中にFile Managerを使ったかを確認します。Web制作会社が納品後の更新作業を委託している場合は、運用担当者にブラウザー版File Managerを使ったかを確認すると、契約者自身の記憶だけでは分からない利用を把握できます。同社は対象のパスワードと同じものや似たものを別のアカウントで使っている場合、そちらも変更するよう勧めています。

メールでは、10月23日以降にサインアウトされ、それまでのパスワードが通らなくなったことが、DreamHostによる予防的なリセットを見分ける手掛かりです。初回通知やリセットがあっただけで、メールボックスの内容が第三者に閲覧されたと確定するわけではありません。同社は調査が進み、当初通知した全員が影響を受けたわけではないと説明しています。通知が来ていない場合は現時点で対応不要としていますが、配下のアカウントが対象か判断できなければ、公式サポートへ確認できます。

再設定後はクライアントとサイトの状態も見る

今回リセットされた利用者の新しいパスワードは、契約者がDreamHostの管理画面から設定します。操作先は、DreamHostのメール利用者向け再設定手順とDreamHostのWebサイト利用者向け再設定手順で確認できます。WordPressなどのCMSのパスワードと、サーバーに接続するSFTP利用者のパスワードは別です。DreamHostは、変更の反映に最大15分かかる場合があると案内しています。古いパスワードを保存したメールソフトや転送クライアントを更新し、業務で使う接続が戻ったことを確かめてください。

同社は、身に覚えのないWebサイトのファイル変更と、Webメールの転送ルールやフィルターを確認するよう勧めています。本サイトでは、配備を自動化している場合は、担当者の端末だけでなく配備ジョブに保存された認証情報も棚卸しし、サイトのファイルを確認するときは、正規の配備記録や信頼できるバックアップとの差分を調べることを勧めます。不明な変更を見つけた場合は、上書きする前にファイル名や時刻を記録して、契約者や保守担当者と調査を進めます。

DreamHostによると、Webサイトの公開とメールの受信は事件中も継続していました。メールが届いていることやサイトが表示されることだけでは、接続用のパスワードが影響を受けたかは分かりません。同社の事件通知はメール内のリンクからログインするよう求めないとしています。連絡を受けたら、受信したリンクを経由せず、普段使う管理画面を開いて確認してください。

関連記事

ホスティング向け製品cPGuardの更新経路侵害と運用者の対応