DreamHost has been expiring email and SFTP passwords since October 23 and hasn't said why. It hosts 750,000+ WordPress installs.
DreamHost, 10월 23일부터 이메일·SFTP 비밀번호 초기화…원인은 미공개
DreamHost가 10월 23일 File Manager 접속 장애 뒤 이메일과 FTP/SFTP 계정의 비밀번호를 초기화하고 계정 소유자에게 복구 절차를 보냈습니다. 회사는 원인이나 영향받은 계정 수, 파일·메일 노출 여부를 밝히지 않았으며, 이메일 전달 규칙도 확인하라고 안내했습니다.
- 주제
에디터 노트
비밀번호 초기화는 새 접근을 막지만 이미 계정에 남은 파일이나 메일 전달 설정까지 되돌리지는 않습니다. DreamHost가 전달 규칙 확인을 권했다는 사실은 계정 설정 노출 가능성을 보여주는 단서지만 침해가 발생했다는 확증은 아닙니다. 원인과 노출 범위가 공개되지 않아 영향받은 사용자가 확인해야 할 범위도 아직 분명하지 않습니다. Reddit에서는 PHP2Shell 악용설이 나왔지만 댓글에서도 근거가 부족하다는 반론이 있습니다. 반면 계정 설정과 사이트 파일을 점검하고 백업과 비교하라는 조언은 비밀번호 재설정만으로 해결되지 않는 잔존 위험을 구체적으로 짚습니다. 사고 원인과 피해 범위에 관한 DreamHost의 설명이 나오기 전까지는 댓글의 공격 경로 추정을 확인된 사실로 볼 수 없습니다.
AI 요약
DreamHost는 10월 23일 File Manager 접속 문제를 처음 알린 뒤 이메일과 FTP/SFTP 사용자의 비밀번호를 초기화했습니다. 회사는 이를 예방 조치라고 설명했고, 영향받은 계정 소유자에게 복구 안내를 보냈습니다. 계정 소유자가 새 비밀번호를 설정하기 전까지 사용자는 로그인할 수 없습니다.
장애와 대응
문제는 File Manager 연결 장애에서 시작해 다른 서비스로 확대됐습니다. DreamHost는 주말 동안 복구 안내를 순차적으로 보냈으며, 계정 소유자에게 각 메일함의 전달 규칙을 확인하고 모르는 주소로 전달하는 설정을 삭제하라고 권고했습니다. 기존 비밀번호를 다른 서비스에서도 썼다면 그곳의 비밀번호도 바꾸라고 안내했습니다. 계정 소유자는 비밀번호가 초기화된 개별 메일·FTP 사용자에게 전화나 문자 등 다른 경로로 알려야 합니다. 초기화 후에는 해당 사용자가 메일에 접근하지 못할 수 있기 때문입니다.
공개된 정보와 남은 의문
보도 시점에 DreamHost는 사건 원인과 영향받은 계정 수, 파일이나 메시지가 노출됐는지 공개하지 않았습니다. BleepingComputer는 회사에 여러 차례 문의했지만 답변을 받지 못했다고 전했습니다. DreamHost는 40만 명 이상의 고객과 150만 개 이상의 웹사이트·애플리케이션을 지원하며, 그중 WordPress 설치는 75만 개 이상이라고 회사 페이지에 기재돼 있습니다.
Reddit 반응
- @Capital_Attention702 — DreamHost 상태 페이지에는 10월 23일 오후 2시 20분 PDT에 File Manager 연결 문제가 처음 기록됐고, 오후 5시 20분에는 일부 이메일 비밀번호를 예방 차원에서 초기화했다고 나옵니다. 오후 10시 13분에는 FTP와 SFTP 사용자도 대상에 포함됐습니다. 나흘이 지났는데도 원인은 공개되지 않았습니다. 계정 소유자 안내에는 SFTP 사용자 데이터가 서버에 남는다고 적혀 있다고 합니다. 다만 새 SFTP 비밀번호는 기존 비밀번호가 유효했던 동안 wp-content에 작성된 PHP 파일을 없애지 않습니다.
- @wildly_weird_trout — 이렇게 넓은 범위의 일에 나흘 동안 아무 설명이 없는 건 심각합니다. 메일 전달 규칙을 확인하라는 대목은 단순 비밀번호 초기화에 흔히 붙는 안내가 아닙니다. 누군가 허용되지 않은 곳을 들여다본 것 같습니다. 75만 개 설치 사이트에서 짧은 접근 시간에도 wp-content에 웹셸이 남을 수 있습니다. Wordfence 같은 도구를 쓰는 사람은 정밀 검사를 해보는 게 좋겠습니다.
- @Frothyleet — PHP2Shell 악용 가능성은 있지만, 호스팅 중인 여러 취약점과 현재까지 확인된 유효한 공격 사례가 적다는 점을 생각하면 단정하기는 어렵습니다.
- @miscdebris1123 — 때로는 수정을 진행하는 동안 세부 내용을 공개하지 않는 편이 낫습니다. 최근 규모가 큰 보안 문제도 몇 건 있었습니다. 조금 더 시간을 주되, 서비스 밖에도 데이터를 백업하세요.
- @hasthisusernamegone — 비행 중 비상 상황에는 먼저 비행기를 조종하고, 안전한 곳으로 향한 다음, 무슨 일이 있었는지 알린다는 원칙이 있습니다. 이 사례와 완전히 같은 상황이라는 뜻이나 최선의 대응이라는 뜻은 아니지만, 지금 소통이 늦는 이유를 이해하는 데 참고가 될 수 있습니다.
- @nekenaharry — DreamHost가 나중에 뭐라고 발표하든 파일 확인은 사이트 소유자의 몫으로 보겠습니다. 비밀번호 초기화는 앞으로의 접근만 차단합니다. 10월 23일 이후 수정된 PHP 파일을 wp-content에서 찾고, 일반 플러그인 목록에 나타나지 않는 mu-plugins도 확인하세요. 모르는 WordPress 관리자 계정이 있는지 살펴보고, wp-config.php의 salts를 바꿔 기존 세션을 무효화하세요. 메일 전달 규칙뿐 아니라 필터와 자동 응답도 확인하고, 23일 전 백업과 파일을 비교하면 됩니다. 전달 규칙 확인을 권하는 대목은 단순한 예방 조치에서 흔히 볼 수 있는 안내가 아닙니다.
- @woodburyman — 개인 계정의 SFTP/Shell 비밀번호는 초기화됐지만 메일 계정은 아직 초기화되지 않았습니다. 웹메일을 쓰지 않고 IMAP/SMTP 클라이언트만 사용하며 콘솔에도 몇 달간 로그인하지 않았습니다. 그래서 웹메일 로그인을 기록하고 PHP2Shell 때문에 초기화한 게 아닐까 추측했습니다. 원문: BleepingComputer / 번역·요약: Trawling