Кілька користувачів Dropbox були повідомлені, що несанкціоновані особи отримали доступ до їхніх облікових записів через вразливість автентифікації, пов'язану з Lenovo ID.

Інцидент, схоже, використовував спосіб обробки Dropbox єдиного входу (SSO) через Lenovo ID. Dropbox заявив, що проблема з процесом перевірки електронної пошти Lenovo дозволила несанкціонованим особам реєструвати Lenovo ID, використовуючи електронні адреси інших людей, а потім використовувати ці ідентифікатори для доступу до облікових записів Dropbox, пов'язаних з тими ж адресами.

У листі до постраждалих користувачів Dropbox повідомив, що доступ до облікових записів був отриманий без авторизації між 4 та 21 серпня 2026 року, хоча компанія заявила, що журнали не виявили доказів перегляду або завантаження файлів.

«Ми нещодавно виявили несанкціонований доступ, який торкнувся облікових записів Dropbox, підключених через Lenovo ID, які не мали ввімкненої двофакторної автентифікації Dropbox», – повідомив представник Dropbox Decrypt. «Наше розслідування встановило, що проблема з процесом перевірки електронної пошти Lenovo дозволила несанкціонованій стороні зареєструвати Lenovo ID, використовуючи електронну адресу іншої особи, а потім використовувати цей Lenovo ID для входу в обліковий запис Dropbox, пов'язаний з цією електронною адресою».

«Приблизно 5000 облікових записів Dropbox були скомпрометовані, і менше третини цих скомпрометованих облікових записів мали переглянуті або завантажені файли», – додав представник. «Ми надіслали електронні листи всім постраждалим користувачам безпосередньо. Клієнти з питаннями щодо активності свого облікового запису повинні звернутися до нашої служби підтримки. Якщо користувач не отримав від нас електронного листа, його обліковий запис не був скомпрометований».

Розробник Йоні Леві, один з постраждалих користувачів, опублікував скріншоти листа на X.

На одному скріншоті Dropbox попереджає Леві, що новий веб-браузер увійшов до його облікового запису з «поблизу Canary Wharf, Англія, Велика Британія» 18 серпня о 6:06 ранку за місцевим часом. Вхід відбувся за допомогою Chrome на Windows.

Леві заявив, що ніколи не мав облікового запису Lenovo і не був у Великій Британії.

Подальше сповіщення від Dropbox повідомило Леві, що його розслідування виявило, що несанкціонована сторона зареєструвала Lenovo ID, використовуючи його електронну адресу, а потім використала цей ID для входу в його обліковий запис Dropbox.

Атака, схоже, не вимагала пароля Dropbox жертви або доступу до її поштової скриньки. За даними Dropbox, скомпрометовані облікові записи були пов'язані з Lenovo ID і не мали ввімкненої двофакторної автентифікації Dropbox, що дозволило зловмисникам використовувати новозареєстровані Lenovo ID з відповідними електронними адресами для доступу до існуючих облікових записів без додаткової перевірки.

Це попередження слідує за іншими загрозами безпеки облікових записів, що впливають на великі онлайн-платформи.

У вівторок користувачі X повідомляли про сплеск небажаних електронних листів для скидання пароля, незнайомі сповіщення про вхід та блокування облікових записів, хоча X заявив, що не знайшов доказів нового злому. Інженер X сказав, що зловмисники, схоже, намагалися отримати контроль над обліковими записами, щоб отримати доступ до X Money.