Ошибка Lenovo ID открыла доступ примерно к 5 тыс. аккаунтов Dropbox
Около 5 тыс. аккаунтов Dropbox оказались скомпрометированы из-за проблемы в интеграции сервиса с Lenovo ID. Несанкционированный доступ происходил с 4 по 21 августа 2026 года и затронул учетные записи, где не была включена двухфакторная аутентификация Dropbox. Почти в трети случаев злоумышленник просматривал или скачивал хранившиеся в облаке файлы.
Dropbox подтвердила несанкционированный доступ примерно к 5 тыс. учетных записей. Он продолжался с 4 по 21 августа. Все затронутые аккаунты были связаны с Lenovo ID и не использовали двухфакторную аутентификацию Dropbox.
Проблема оказалась связана со старой интеграцией двух сервисов. Ошибка в процедуре проверки электронной почты Lenovo ID позволяла зарегистрировать учетную запись Lenovo на чужой адрес, не подтверждая доступ к почтовому ящику.
После этого созданный Lenovo ID можно было использовать для входа в Dropbox, зарегистрированный на тот же адрес. Пароль от Dropbox для такого входа не требовался. Причем у владельца аккаунта Dropbox до атаки вообще могло не быть Lenovo ID — злоумышленник создавал его сам.
В результате механизм входа через сторонний сервис фактически принимал принадлежность адреса электронной почты как уже проверенную. Если в Dropbox для этой учетной записи не была включена двухфакторная аутентификация, этого было достаточно для доступа к аккаунту.
Dropbox сообщила, что файлы просматривались или скачивались менее чем в трети скомпрометированных учетных записей. Таким образом, сам факт доступа примерно к 5 тыс. аккаунтов не означает, что содержимое каждого из них было прочитано или скопировано.
После обнаружения проблемы Dropbox завершила все сеансы, авторизованные через Lenovo ID, и удалила связи между учетными записями двух сервисов. Теперь для входа в Dropbox через Lenovo требуется дополнительно ввести пароль от самого аккаунта Dropbox.
Lenovo назвала причиной инцидента устаревшую интеграцию с Dropbox, которая могла некорректно аутентифицировать некоторые учетные записи. Компания заявила, что ее собственные клиенты не пострадали и расследование продолжается.
Dropbox начала уведомлять затронутых пользователей и сообщила об инциденте регуляторам по защите данных. Кто получил доступ к аккаунтам и каким образом выбирались цели, в опубликованных материалах не уточняется.
Читайте также
