Varios usuarios de Dropbox han recibido un correo electrónico de la empresa de almacenamiento en la nube informándoles de que una brecha de seguridad permitió el acceso no autorizado a sus cuentas. Actualización: la empresa ha declarado que aproximadamente 5,000 cuentas fueron comprometidas, con archivos descargados de alrededor de 1,500 de ellas. La causa raíz parece ser una falta de autenticación por parte de Dropbox cuando los atacantes crearon una opción de inicio de sesión único a través de una empresa de terceros.

El desarrollador Yoni Levy publicó una copia del correo electrónico que recibió en X. El correo indicaba que el acceso no autorizado ocurrió entre el 4 y el 21 de agosto de 2026, y que Dropbox se asoció con Lenovo como proveedor de identidad. Un problema en el proceso de verificación de correo electrónico de Lenovo permitió que una parte no autorizada registrara un ID de Lenovo utilizando la dirección de correo electrónico de la víctima y luego usara ese ID para iniciar sesión en la cuenta de Dropbox.

Si bien Dropbox afirma que la falla estaba en el proceso de verificación de correo electrónico de Lenovo, el problema más grande parece ser que Dropbox mismo no exigió a los usuarios usar su inicio de sesión existente para verificar el nuevo SSO. El atacante podía registrar un ID fraudulento, usar el inicio de sesión federado, y Dropbox resolvería la reclamación de correo electrónico a la cuenta existente sin un aviso de contraseña ni consentimiento.

Opinión de 9to5Mac: Si bien ciertamente hubo una falla en la verificación de direcciones de correo electrónico en el extremo de Lenovo, no habría causado ningún daño si Dropbox hubiera autenticado el ID vinculado antes de que pudiera usarse para iniciar sesión. No hacerlo es una falta grave. La empresa ha corregido la falla y ha expirado todas las sesiones previamente 'autenticadas' a través de un ID de Lenovo. Si aún no tiene la autenticación de dos factores habilitada para Dropbox, se recomienda encarecidamente cambiarla de inmediato.

Entidades clave: Empresas: Dropbox, Lenovo, 9to5Mac | Personas: Yoni Levy