Plusieurs utilisateurs de Dropbox ont reçu un e-mail de la société de stockage cloud les informant qu'une faille de sécurité avait permis un accès non autorisé à leur compte. Mise à jour : la société a déclaré qu'environ 5 000 comptes ont été compromis, avec des fichiers téléchargés depuis environ 1 500 d'entre eux. La cause racine semble être un manque d'authentification par Dropbox lorsque les attaquants ont créé une option d'authentification unique via une société tierce.

Le développeur Yoni Levy a publié une copie de l'e-mail qu'il a reçu sur X. L'e-mail indiquait que l'accès non autorisé s'est produit entre le 4 et le 21 août 2026, et que Dropbox s'est associé à Lenovo en tant que fournisseur d'identité. Un problème dans le processus de vérification des e-mails de Lenovo a permis à une partie non autorisée d'enregistrer un identifiant Lenovo en utilisant l'adresse e-mail de la victime, puis d'utiliser cet identifiant pour se connecter au compte Dropbox.

Bien que Dropbox affirme que la faille se trouvait dans le processus de vérification des e-mails de Lenovo, le problème plus important semble être que Dropbox lui-même n'a pas exigé que les utilisateurs utilisent leur connexion existante pour vérifier le nouveau SSO. L'attaquant pouvait enregistrer un identifiant frauduleux, utiliser la connexion fédérée, et Dropbox résoudrait la revendication d'e-mail au compte existant sans invite de mot de passe ni consentement.

Point de vue de 9to5Mac : Bien qu'il y ait certainement eu un échec dans la vérification des adresses e-mail du côté de Lenovo, cela n'aurait pas causé de dommage si Dropbox avait authentifié l'identifiant lié avant qu'il ne puisse être utilisé pour se connecter. Ne pas le faire est une faute grave. La société a maintenant corrigé la faille et a expiré toutes les sessions précédemment « authentifiées » via un identifiant Lenovo. Si vous n'avez pas encore activé l'authentification à deux facteurs pour Dropbox, il est fortement recommandé de la modifier immédiatement.

Entités clés : Entreprises : Dropbox, Lenovo, 9to5Mac | Personnes : Yoni Levy