Mai mulți utilizatori Dropbox au fost notificați că părți neautorizate le-au accesat conturile printr-o breșă de autentificare care implica ID-ul Lenovo.

Incidentul pare să fi exploatat modul în care Dropbox gestiona autentificarea unică (single sign-on), sau SSO, prin intermediul ID-urilor Lenovo. Dropbox a declarat că o problemă cu procesul de verificare a e-mailului Lenovo a permis părților neautorizate să înregistreze ID-uri Lenovo folosind adresele de e-mail ale altor persoane și apoi să folosească acele identități pentru a accesa conturile Dropbox asociate cu aceleași adrese.

Într-o scrisoare adresată utilizatorilor afectați, Dropbox a declarat că accesul la conturi a fost neautorizat între 4 și 21 august 2026, deși compania a precizat că jurnalele nu au arătat dovezi că fișierele au fost vizualizate sau descărcate.

„Am identificat recent acces neautorizat care a afectat conturile Dropbox conectate prin ID Lenovo, care nu aveau activată autentificarea în doi factori Dropbox”, a declarat un purtător de cuvânt al Dropbox pentru Decrypt. „Investigația noastră a stabilit că o problemă cu procesul de verificare a e-mailului Lenovo a permis unei părți neautorizate să înregistreze un ID Lenovo folosind adresa de e-mail a unei alte persoane și apoi să utilizeze acel ID Lenovo pentru a se autentifica în contul Dropbox asociat cu acea adresă de e-mail.”

„Aproximativ 5000 de conturi Dropbox au fost afectate, iar mai puțin de o treime dintre aceste conturi afectate au avut fișiere vizualizate sau descărcate”, a adăugat purtătorul de cuvânt. „Am trimis e-mailuri direct tuturor utilizatorilor afectați. Clienții cu întrebări despre activitatea contului lor ar trebui să contacteze echipa noastră de asistență. Dacă un utilizator nu a primit un e-mail de la noi, contul său nu a fost afectat.”

Dezvoltatorul Yoni Levy, unul dintre utilizatorii afectați, a postat capturi de ecran ale scrisorii pe X.

O captură de ecran arată Dropbox avertizându-l pe Levy că un nou browser web s-a conectat la contul său din „lângă Canary Wharf, Anglia, Regatul Unit” pe 18 august la ora 6:06 dimineața, ora locală. Autentificarea a folosit Chrome pe Windows.

Levy a declarat că nu a avut niciodată un cont Lenovo și nu a fost în Regatul Unit.

O notificare ulterioară de la Dropbox i-a transmis lui Levy că investigația sa a descoperit că o parte neautorizată a înregistrat un ID Lenovo folosind adresa sa de e-mail și apoi a folosit acel ID pentru a se conecta la contul său Dropbox.

Atacul nu pare să fi necesitat parola Dropbox a victimei sau acces la căsuța de e-mail. Potrivit Dropbox, conturile afectate erau legate de ID-uri Lenovo și nu aveau activată autentificarea în doi factori Dropbox, permițând atacatorilor să folosească ID-uri Lenovo nou înregistrate cu adrese de e-mail corespondente pentru a accesa conturile existente fără verificare suplimentară.

Avertismentul vine în urma altor alerte de securitate a conturilor care afectează platforme online majore.

Marți, utilizatorii X au raportat o creștere a e-mailurilor nesolicitate de resetare a parolei, a alertelor de autentificare necunoscute și a blocărilor de conturi, deși X a declarat că nu a găsit dovezi ale unei noi breșe. Un inginer X a declarat că atacatorii păreau să încerce să preia controlul conturilor pentru a obține acces la X Money.