DreamHost承认遭数月入侵 黑客窃取客户邮件与会话令牌

美国虚拟主机服务商DreamHost证实，其系统在一次持续数月的网络攻击中失守，客户的邮件内容与登录凭证被窃取。公司于上周四公开这起数据泄露事件，此前一场延续数天的服务中断已让不少用户察觉异常，部分账户密码被强制重置。

提交给加州总检察长办公室的泄露通知显示，攻击自8月启动，黑客借此取得会话令牌（session token）。这类凭据的作用是在用户输入密码之后维持登录状态，一旦被盗，攻击者可以绕开口令验证，直接以受害者身份进入账户。

漏洞出在DreamHost的文件管理器上，那是客户用来存放网站文件的组件。公司未说明漏洞的具体形态；面对采访请求，其发言人仅以调查仍在进行为由，没有解释为何直到上周才发现入侵。

该发言人表示，受影响客户“远低于10%”。DreamHost对外宣传其网络拥有约40万付费客户，按这一口径推算，卷入事件的账户不足4万个。

头一回买虚拟主机，是看同学在论坛签名里挂了个网址之后的事。此前只当建站是件很玄的事，直到在控制面板里点开那个在线文件管理器——界面活像把资源管理器泡了水，左边一列文件夹，右边拖进去一个index.html，进度条爬到一半卡住，刷新三遍，首页还是一行默认的欢迎语。那年宿舍的网一到夜里就抽风，传张图片要等一根烟的工夫，眼睛盯着进度条，心里盘算这钱花得值不值。如今新闻里说，出问题的偏偏就是这个文件管理器。当年那个连上传都要靠运气的入口，现在成了黑客进来的门。要是那时候知道这扇门这么要紧，会不会少传几个乱七八糟的测试文件？大概还是会传——那点折腾劲儿，本来也不是为了安全。

会话令牌是这起事件里最容易被忽略的部分。用户把密码改掉，服务端若没有同步吊销已经签发的会话，令牌在有效期内依然能打开账户。钥匙换了，门里那个人还站着。

这也解释了一种常见的错位：公告写的是“已重置密码”，用户的直觉是事情到此为止，而真正的止血动作是让所有活跃会话失效，再把异常登录记录逐条翻出来核对。

主机商天生是数据的聚集地。一个账户里塞着邮件、网站文件、数据库和域名解析，中小站长、独立博客、小型电商把身家托在共享主机上，没有安全团队，能做的只有相信服务商。平台被攻破，连带损失远超过单个用户的自救能力。

从8月到11月，攻击者在系统里待了近三个月才被察觉。加州法律要求企业在确认泄露后及时通知受影响居民，DreamHost的通报跟在服务中断之后发出，中间的空白由一句“调查中”带过。

公司还特意澄清，此事与近期PHP网页软件曝出的漏洞无关。这一句显然是为了避免用户在排查时把两件事混作一团，也侧面说明同时段的安全噪音让通报变得更难说清。

对普通用户，可做的动作不多但很具体：翻一遍账户的登录历史与已授权会话，把长期不用的会话逐个踢掉，给邮箱和主机面板都加上两步验证，别让同一个密码在多个站点之间反复出现。

共享主机的生意靠低价走量，安全投入与价格战之间的拉扯不会因为一份通报就停下。不足4万个账户听上去不算多，可每一个后面都是一个还在更新的网站，或者一个专门用来收验证码的邮箱。