Nhà cung cấp hosting DreamHost vừa xác nhận một cuộc tấn công kéo dài nhiều tháng đã khiến email, thông tin đăng nhập và tệp của một phần khách hàng bị lộ. Vụ DreamHost bị tấn công được TechCrunch đưa tin ngày 4/11/2026, sau khi công ty công bố sự cố hồi cuối tháng 10. Với bất kỳ doanh nghiệp nào đang thuê hosting, email hay lưu website trên hạ tầng của bên thứ ba, đây là bài học đáng đọc kỹ.

Một công cụ quản lý tệp trở thành cửa ngõ

Theo thông báo của DreamHost, chiều thứ Sáu 23/10/2026 công ty phát hiện một bên không được phép đã truy cập vào máy chủ chạy File Manager, công cụ trên trình duyệt để khách hàng thao tác với tệp của website. Ngay sau đó, DreamHost đưa các máy chủ này ngoại tuyến, vá lỗ hổng và bắt đầu điều tra.

Điểm đáng chú ý là File Manager được xây dựng trên phần mềm của bên thứ ba. DreamHost cho biết kẻ tấn công khai thác một lỗ hổng trong chính phần mềm đó, rồi lấy được tên người dùng và mật khẩu FTP/SFTP của những ai từng đăng nhập vào công cụ này trước thời điểm bị phát hiện. Công ty chưa nói rõ lỗ hổng cụ thể là gì, và theo TechCrunch, họ cũng không giải thích vì sao phải đến tuần trước mới phát hiện ra.

Kéo dài từ tháng 8, lan sang cả webmail

Thông báo vi phạm dữ liệu mà DreamHost nộp cho văn phòng tổng chưởng lý bang California cho biết cuộc tấn công bắt đầu từ tháng 8. Theo mô tả của TechCrunch, kẻ tấn công lấy được cả session token, tức mã giữ trạng thái đăng nhập sau khi người dùng nhập mật khẩu. Nếu bị đánh cắp, token cho phép kẻ xấu vào hệ thống như thể họ là chính người dùng đó.

Không dừng ở FTP, DreamHost thừa nhận kẻ tấn công còn tiếp cận được một số hệ thống webmail và lấy thông tin đăng nhập của một số lượng hạn chế người dùng. Trong một số ít trường hợp, công ty tin rằng thông tin này đã được dùng để xem nội dung hộp thư và đang liên hệ riêng từng khách hàng bị ảnh hưởng.

Trước đó, sự cố đã gây ra một đợt gián đoạn dịch vụ kéo dài nhiều ngày, trong lúc DreamHost đặt lại mật khẩu của một số khách hàng. DreamHost cũng khẳng định lỗ hổng này không liên quan đến các lỗ hổng PHP nghiêm trọng được phát hiện gần đây.

Quy mô: dưới 10%, nhưng con số cụ thể vẫn chưa rõ

DreamHost cho biết số tài khoản email và FTP/SFTP bị ảnh hưởng "dưới khoảng 10%". Người phát ngôn của công ty không cung cấp con số chính xác với TechCrunch. Theo trang giới thiệu của DreamHost, nhà cung cấp này có khoảng 400.000 khách hàng trả phí, vì vậy ngay cả một tỷ lệ nhỏ cũng có thể là hàng chục nghìn tài khoản. Đây là suy luận của chúng tôi từ hai con số công khai, không phải số liệu do DreamHost xác nhận.

Về phần chưa bị ảnh hưởng, công ty nói chưa thấy bằng chứng kẻ tấn công truy cập đăng nhập bảng điều khiển hay thông tin thanh toán của khách. DreamHost cũng cho biết họ không lưu đầy đủ số thẻ; việc thanh toán do một đơn vị xử lý bên thứ ba đảm nhiệm. Công ty nhấn mạnh điều tra vẫn đang tiếp tục, nên các con số có thể thay đổi.

Vì sao chuyện này không chỉ của khách hàng DreamHost

Câu chuyện này cho thấy một mẫu hình quen thuộc: điểm yếu không nằm ở lõi hạ tầng mà ở một công cụ phụ, dựng bằng phần mềm bên thứ ba. Những thành phần như trình quản lý tệp, webmail hay bảng điều khiển phụ thường ít được giám sát bằng hệ thống chính, nên kẻ tấn công có thể ở lại rất lâu mà không bị phát hiện, như trường hợp từ tháng 8 đến cuối tháng 10 này.

Với đội phát triển phần mềm, có hai bài học rõ ràng. Thứ nhất, mọi thư viện hay ứng dụng bên thứ ba bạn nhúng vào sản phẩm đều là một phần bề mặt tấn công của bạn. Thứ hai, giữ phiên đăng nhập quá lâu mà không có cơ chế thu hồi nhanh sẽ biến việc lộ một token thành chìa khoá vào hệ thống.

Doanh nghiệp nên làm gì ngay trong tuần này

Nếu bạn dùng DreamHost, hãy làm theo hướng dẫn của họ trước tiên. Công ty khuyến cáo coi tên người dùng và mật khẩu FTP/SFTP của những ai đăng nhập File Manager trong khoảng tháng 8 đến 23/10/2026 là đã bị lộ, và đổi luôn mật khẩu trùng lặp ở các dịch vụ khác. Email từ DreamHost về việc này sẽ không bao giờ hỏi mật khẩu của bạn.

Với mọi tổ chức khác, đây là lúc rà soát lại các việc nền tảng:

  • Đổi thông tin xác thực tại các dịch vụ lưu trữ bên ngoài và không dùng chung mật khẩu giữa email, FTP và bảng điều khiển.
  • Bật xác thực nhiều lớp và dùng trình quản lý mật khẩu; chúng tôi đã tổng hợp cách làm trong bài bật xác thực 2 lớp, dùng trình quản lý mật khẩu và passkey.
  • Ưu tiên SFTP với khoá SSH thay cho mật khẩu, và hạn chế dùng công cụ quản lý tệp trên web nếu không thật cần.
  • Đặt thời hạn ngắn cho phiên đăng nhập và có sẵn quy trình thu hồi toàn bộ phiên khi nghi ngờ sự cố.
  • Đề phòng thư lừa đảo thừa cơ: sau mỗi vụ rò rỉ, kẻ xấu thường giả danh nhà cung cấp. Xem lại cách nhận biết email và tin nhắn lừa đảo (phishing) cho đội ngũ của bạn.

Điều còn bỏ ngỏ

Hiện vẫn còn nhiều câu hỏi: lỗ hổng cụ thể nằm ở phần mềm nào, vì sao hệ thống giám sát không phát hiện sớm hơn, và con số khách hàng bị ảnh hưởng chính xác là bao nhiêu. DreamHost cho biết sẽ gửi thông báo chính thức và đang báo cáo với cơ quan quản lý theo quy định. Chúng tôi sẽ cập nhật khi có thêm thông tin đáng tin cậy.

Kết luận

Vụ DreamHost cho thấy rủi ro bảo mật thường đến từ những mắt xích ít được chú ý, và kéo dài nhiều tháng trước khi bị phát hiện. Nếu bạn muốn rà soát mức độ phơi nhiễm của hệ thống, quy trình quản lý phiên và thành phần bên thứ ba, hãy liên hệ đội ngũ Besoft để được tư vấn.

Nguồn tham khảo

  • TechCrunch, "Hackers stole DreamHost customer files and inboxes during months-long attack", 4/11/2026: https://techcrunch.com/2026/11/04/hackers-stole-dreamhost-customer-files-and-inboxes-during-months-long-attack/
  • DreamHost, "October Security Incident" (thông báo chính thức, cập nhật 29/10/2026): https://www.dreamhost.com/news/announcements/october-security-incident/