Mehrere Dropbox-Benutzer wurden von dem Cloud-Speicherunternehmen per E-Mail benachrichtigt, dass ein Sicherheitsverstoß zu unbefugtem Zugriff auf ihr Konto geführt hat. Update: Das Unternehmen hat erklärt, dass etwa 5.000 Konten kompromittiert wurden, wobei Dateien von etwa 1.500 davon heruntergeladen wurden. Die Ursache scheint ein Mangel an Authentifizierung durch Dropbox zu sein, als Angreifer eine Single-Sign-On-Option über ein Drittunternehmen erstellten.

Entwickler Yoni Levy veröffentlichte eine Kopie der E-Mail, die er auf X erhalten hatte. Die E-Mail besagte, dass unbefugter Zugriff zwischen dem 4. und 21. August 2026 stattfand und dass Dropbox mit Lenovo als Identitätsanbieter zusammenarbeitete. Ein Problem im E-Mail-Verifizierungsprozess von Lenovo ermöglichte es einer unbefugten Partei, eine Lenovo-ID mit der E-Mail-Adresse des Opfers zu registrieren und diese ID dann zu verwenden, um sich beim Dropbox-Konto anzumelden.

Während Dropbox behauptet, der Fehler habe im E-Mail-Verifizierungsprozess von Lenovo gelegen, scheint das größere Problem zu sein, dass Dropbox selbst nicht verlangte, dass Benutzer ihren vorhandenen Login verwenden, um das neue SSO zu verifizieren. Der Angreifer konnte eine betrügerische ID registrieren, föderiertes Sign-In verwenden, und Dropbox würde den E-Mail-Anspruch ohne Passwortabfrage oder Zustimmung auf das bestehende Konto auflösen.

Meinung von 9to5Mac: Obwohl es sicherlich einen Fehler bei der Verifizierung von E-Mail-Adressen auf Seiten von Lenovo gab, hätte es keinen Schaden angerichtet, wenn Dropbox die verknüpfte ID authentifiziert hätte, bevor sie zum Anmelden verwendet werden konnte. Dies nicht zu tun, ist ein schwerwiegender Fehler. Das Unternehmen hat den Fehler nun behoben und alle zuvor über eine Lenovo-ID „authentifizierten“ Sitzungen ablaufen lassen. Wenn Sie für Dropbox noch keine Zwei-Faktor-Authentifizierung aktiviert haben, wird dringend empfohlen, dies sofort zu ändern.

Wichtige Entitäten: Unternehmen: Dropbox, Lenovo, 9to5Mac | Personen: Yoni Levy