Beberapa pengguna Dropbox diberitahu bahwa pihak tidak berwenang mengakses akun mereka melalui celah otentikasi yang melibatkan Lenovo ID.

Insiden ini tampaknya mengeksploitasi cara Dropbox menangani _single sign-on_ (SSO), melalui Lenovo ID. Dropbox menyatakan bahwa masalah dalam proses verifikasi email Lenovo memungkinkan pihak tidak berwenang mendaftarkan Lenovo ID menggunakan alamat email orang lain, kemudian menggunakan identitas tersebut untuk mengakses akun Dropbox yang terkait dengan alamat yang sama.

Dalam surat kepada pengguna yang terkena dampak, Dropbox mengatakan akun diakses tanpa izin antara 4 Agustus dan 21 Agustus 2026, meskipun perusahaan menyatakan log tidak menunjukkan bukti bahwa file telah dilihat atau diunduh.

"Kami baru-baru ini mengidentifikasi akses tidak sah yang memengaruhi akun Dropbox yang terhubung melalui Lenovo ID yang tidak mengaktifkan otentikasi dua faktor Dropbox," kata juru bicara Dropbox kepada Decrypt. "Investigasi kami menentukan bahwa masalah dengan proses verifikasi email Lenovo memungkinkan pihak tidak berwenang untuk mendaftarkan Lenovo ID menggunakan alamat email orang lain dan kemudian menggunakan Lenovo ID tersebut untuk masuk ke akun Dropbox yang terkait dengan alamat email tersebut."

"Sekitar 5000 akun Dropbox terkena dampak, dan kurang dari sepertiga dari akun yang terkena dampak ini file-nya dilihat atau diunduh," tambah juru bicara tersebut. "Kami telah mengirim email langsung kepada semua pengguna yang terkena dampak. Pelanggan dengan pertanyaan tentang aktivitas akun mereka harus menghubungi tim dukungan kami. Jika pengguna tidak menerima email dari kami, akun mereka tidak terkena dampak."

Pengembang Yoni Levy, salah satu pengguna yang terkena dampak, memposting tangkapan layar surat tersebut di X.

Salah satu tangkapan layar menunjukkan Dropbox memperingatkan Levy bahwa _web browser_ baru telah masuk ke akunnya dari "Dekat Canary Wharf, Inggris, Britania Raya" pada 18 Agustus pukul 06:06 waktu setempat. Login tersebut menggunakan Chrome di Windows.

Levy mengatakan dia tidak pernah memiliki akun Lenovo dan belum pernah pergi ke Inggris.

Notifikasi berikutnya dari Dropbox memberi tahu Levy bahwa investigasi mereka menemukan pihak tidak berwenang telah mendaftarkan Lenovo ID menggunakan alamat emailnya, kemudian menggunakan ID tersebut untuk masuk ke akun Dropbox-nya.

Serangan tersebut tampaknya tidak memerlukan kata sandi Dropbox korban atau akses ke kotak masuk email mereka. Menurut Dropbox, akun yang terkena dampak terhubung ke Lenovo ID dan tidak mengaktifkan otentikasi dua faktor Dropbox, sehingga memungkinkan penyerang untuk menggunakan Lenovo ID yang baru didaftarkan dengan alamat email yang cocok untuk mengakses akun yang ada tanpa verifikasi tambahan.

Peringatan ini menyusul kekhawatiran keamanan akun lainnya yang memengaruhi platform daring besar.

Pada hari Selasa, pengguna X melaporkan lonjakan email pengaturan ulang kata sandi yang tidak diminta, peringatan login yang tidak dikenal, dan penguncian akun, meskipun X mengatakan tidak menemukan bukti pelanggaran baru. Seorang insinyur X mengatakan penyerang tampaknya mencoba mengambil kendali akun untuk mendapatkan akses ke X Money.