สรุปสั้น

บริษัท DreamHost คือ ผู้ให้บริการเว็บโฮสติงรายใหญ่ของสหรัฐฯ ที่ให้บริการทั้งพื้นที่เว็บไซต์ อีเมล และการอัปโหลดไฟล์ผ่าน FTP ในช่วงสุดสัปดาห์ก่อนวันที่ 26 ตุลาคม 2569 DreamHost ระงับบริการ File Manager ที่ files.dreamhost.com และรีเซ็ตรหัสผ่านของผู้ใช้อีเมลและ FTP/SFTP บางส่วน โดยระบุเพียงว่าเป็นมาตรการป้องกันจาก “ปัญหา” ในระบบที่กระทบ File Manager และเว็บเมลของ DreamHost บริษัทแจ้งเจ้าของบัญชีว่าผู้ใช้ต้องตั้งรหัสผ่านใหม่ตอนล็อกอิน และย้ำว่า DreamHost จะไม่ขอให้รีเซ็ตรหัสผ่านทางอีเมล

จนถึงตอนนี้ DreamHost ยังไม่อธิบายว่าเกิดอะไรขึ้น ไม่บอกจำนวนผู้ได้รับผลกระทบ และไม่ยืนยันว่ารหัสผ่านถูกขโมยหรือไม่ ผู้ใช้บางส่วนจึงวิจารณ์เรื่องความโปร่งใส และตั้งคำถามว่ารหัสผ่านถูกแฮชอย่างถูกต้องหรือเปล่า การที่บริษัทแนะนำให้เปลี่ยนรหัสผ่านที่ใช้ซ้ำในที่อื่นด้วยเป็นสัญญาณว่าความเสี่ยงไม่ได้จำกัดอยู่แค่ DreamHost เจ้าของบัญชีจึงควรแจ้งผู้ใช้กล่องเมลและ FTP ทุกคนเอง เพราะ DreamHost ติดต่อผู้ใช้เหล่านั้นโดยตรงไม่ได้

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่า DreamHost ระงับบริการ File Manager และรีเซ็ตรหัสผ่านผู้ใช้บางส่วนในช่วงสุดสัปดาห์ เหตุการณ์เริ่มเมื่อวันศุกร์ที่ 23 ตุลาคม 2569 ซึ่ง DreamHost ประกาศว่ากำลังรีเซ็ตรหัสผ่านของผู้ใช้อีเมลและ FTP/SFTP บางรายเพื่อความปลอดภัย

ด้านการแจ้งลูกค้า DreamHost ส่งข้อความถึงเจ้าของบัญชีโดยตรง ซึ่งมีผู้นำไปเผยแพร่บน Reddit ข้อความระบุว่าเจ้าของบัญชีเท่านั้นที่ตั้งรหัสผ่านใหม่ให้ผู้ใช้เหล่านี้ได้ และ DreamHost ไม่สามารถติดต่อผู้ใช้กล่องเมลหรือ FTP รายบุคคลได้ ผู้ใช้เหล่านั้นจึงอาจไม่รู้เรื่องจนกว่าเจ้าของบัญชีจะบอก DreamHost ยังเตือนว่าหากผู้ใช้เคยใช้รหัสผ่านเดิมที่อื่น ควรเปลี่ยนที่นั่นด้วย

ต่อมาวันจันทร์ที่ 26 ตุลาคม 2569 DreamHost แจ้งว่าได้สร้างและติดตั้งตัวแก้ไขให้ File Manager แล้ว และเปิด files.dreamhost.com กลับมาใช้งานได้ พร้อมเฝ้าดูให้แน่ใจว่าระบบกลับมาทำงานเต็มรูปแบบ

นี่ไม่ใช่ครั้งแรกที่ DreamHost บังคับรีเซ็ตรหัสผ่านลูกค้า ในเดือนมกราคม 2555 บริษัทเคยรีเซ็ตรหัสผ่าน FTP และ shell ของลูกค้าทั้งหมด หลังตรวจพบผู้บุกรุกเข้าถึงฐานข้อมูลผ่านช่องโหว่ที่ไม่เคยรู้จักมาก่อน ครั้งนั้นบริษัทอธิบายสาเหตุต่อสาธารณะภายในวันถัดมา ต่างจากครั้งนี้ที่ยังไม่มีคำอธิบาย

ข้อจำกัดของหลักฐาน คือ DreamHost ยังไม่เปิดเผยสาเหตุ จำนวนผู้ได้รับผลกระทบ ช่วงเวลาที่เกิดปัญหาจริง หรือว่ามีผู้เข้าถึงระบบโดยไม่ได้รับอนุญาตหรือไม่ SecurityWeek ส่งอีเมลสอบถามแล้วแต่ยังไม่ได้คำตอบ ข้อสงสัยเรื่องรหัสผ่านรั่วหรือการแฮชรหัสผ่านจึงยังเป็นเพียงการคาดเดาของผู้ใช้

วิธีการโจมตี

สิ่งที่รู้แน่ — ปัญหากระทบสองบริการ ได้แก่ File Manager ที่ใช้จัดการไฟล์เว็บไซต์ผ่านเบราว์เซอร์ และเว็บเมลของ DreamHost บริการทั้งสองใช้ข้อมูลล็อกอินชุดเดียวกับบัญชีอีเมลและ FTP/SFTP ของลูกค้า การที่ DreamHost เลือกรีเซ็ตรหัสผ่านของผู้ใช้กลุ่มนี้จึงสอดคล้องกับความเป็นไปได้ว่าข้อมูลล็อกอินที่ผ่านบริการเหล่านี้อาจถูกเปิดเผย

สิ่งที่ยังไม่รู้ — DreamHost ไม่ได้บอกว่าเป็นช่องโหว่ใน File Manager การเข้าถึงโดยไม่ได้รับอนุญาต หรือความผิดพลาดของระบบ และไม่ได้บอกว่ารหัสผ่านถูกเก็บหรือส่งผ่านในรูปแบบใด การที่บริษัทต้อง “สร้างและติดตั้งตัวแก้ไข” ให้ File Manager ก่อนเปิดบริการคืนบ่งว่าต้นเหตุอยู่ในตัว File Manager แต่ยังไม่มีการยืนยัน

ทำไมการรีเซ็ตรหัสผ่านสำคัญ — บัญชี FTP/SFTP ที่หลุดเปิดทางให้ผู้โจมตีแก้ไฟล์เว็บไซต์ได้โดยตรง เช่น ฝัง web shell หรือสคริปต์ขโมยข้อมูลบัตรในหน้าชำระเงิน ส่วนบัญชีอีเมลที่หลุดใช้รีเซ็ตรหัสผ่านบริการอื่นหรือส่งฟิชชิงจากโดเมนจริงขององค์กรได้

ผลกระทบ

ผู้ที่อาจได้รับผลกระทบ คือ ลูกค้า DreamHost ที่ใช้อีเมลหรือ FTP/SFTP บนโฮสติงของบริษัท ซึ่งมีทั้งธุรกิจขนาดเล็ก องค์กรไม่แสวงกำไร และผู้ดูแลเว็บไซต์ส่วนตัว จำนวนที่แท้จริงยังไม่เปิดเผย ช่องว่างที่สำคัญ คือ ผู้ใช้กล่องเมลและผู้ใช้ FTP จำนวนมากไม่ใช่เจ้าของบัญชี และจะรู้เรื่องก็ต่อเมื่อเจ้าของบัญชีแจ้ง

หากรหัสผ่านถูกขโมยจริง ความเสี่ยงต่อเนื่อง คือ การแก้ไฟล์เว็บไซต์ที่โฮสต์อยู่ การยึดกล่องอีเมล และการนำรหัสผ่านที่ใช้ซ้ำไปลองกับบริการอื่น (credential stuffing) ความไม่ชัดเจนของ DreamHost ยังทำให้ลูกค้าประเมินความเสี่ยงเองได้ยาก และต้องเตรียมรับมือเหมือนรหัสผ่านรั่วไว้ก่อน

คำแนะนำ

  • แจ้งผู้ใช้กล่องเมลและ FTP/SFTP ทุกคนในบัญชีทันที — DreamHost ติดต่อผู้ใช้เหล่านี้ไม่ได้ เจ้าของบัญชีต้องตั้งรหัสผ่านใหม่ให้และแจ้งเอง
  • เปลี่ยนรหัสผ่านที่ใช้ซ้ำในบริการอื่น — ตามที่ DreamHost แนะนำ เพื่อตัดทางการนำรหัสผ่านไปลองล็อกอินที่อื่น
  • ตรวจไฟล์เว็บไซต์ว่าถูกแก้หรือไม่ — เช็กไฟล์ที่เปลี่ยนในช่วงปลายเดือนตุลาคม 2569 โดยเฉพาะไฟล์ PHP หรือ JavaScript ที่ไม่รู้จัก และหน้าชำระเงิน
  • ตรวจล็อก FTP/SFTP และการตั้งค่าอีเมล — มองหาการล็อกอินจากที่อยู่ IP ที่ไม่คุ้นเคย และกฎส่งต่ออีเมล (forwarding) ที่ไม่ได้สร้างเอง
  • ระวังอีเมลขอรีเซ็ตรหัสผ่านที่อ้างว่าเป็น DreamHost — บริษัทย้ำว่าจะไม่ขอให้รีเซ็ตรหัสผ่านทางอีเมล ข้อความลักษณะนี้จึงอาจเป็นฟิชชิงที่ฉวยโอกาสจากเหตุการณ์
  • ระยะยาวเลิกใช้ FTP แบบไม่เข้ารหัส — ใช้ SFTP หรือ SSH key แทนรหัสผ่าน เพื่อลดความเสียหายเมื่อรหัสผ่านรั่ว

แหล่งอ้างอิง