Несколько пользователей Dropbox получили электронные письма от компании облачного хранения, сообщающие о том, что в результате нарушения безопасности их учетные записи были доступны без авторизации. Обновление: компания сообщила, что было скомпрометировано около 5000 аккаунтов, при этом файлы были загружены примерно с 1500 из них. Корневая причина, по-видимому, заключается в отсутствии аутентификации со стороны Dropbox, когда злоумышленники создали опцию единого входа через стороннюю компанию.

Разработчик Yoni Levy опубликовал копию полученного им электронного письма в X. В письме сообщалось, что несанкционированный доступ произошел в период с 4 по 21 августа 2026 года, и что Dropbox сотрудничал с Lenovo в качестве поставщика удостоверений. Проблема в процессе проверки электронной почты Lenovo позволила неавторизованной стороне зарегистрировать идентификатор Lenovo, используя адрес электронной почты жертвы, а затем использовать этот идентификатор для входа в учетную запись Dropbox.

Хотя Dropbox утверждает, что ошибка была в процессе проверки электронной почты Lenovo, более серьезная проблема, по-видимому, заключается в том, что сам Dropbox не требовал от пользователей использовать существующий вход для проверки нового SSO. Злоумышленник мог зарегистрировать поддельный идентификатор, использовать федеративный вход, и Dropbox разрешил бы заявку на электронную почту к существующей учетной записи без запроса пароля или согласия.

Мнение 9to5Mac: Хотя, безусловно, была ошибка в проверке адресов электронной почты на стороне Lenovo, не было бы никакого вреда, если бы Dropbox аутентифицировал связанный идентификатор до того, как его можно было использовать для входа. Не сделать это — вопиющая ошибка. Компания теперь исправила ошибку и завершила все сеансы, ранее «аутентифицированные» через идентификатор Lenovo. Если у вас еще не включена двухфакторная аутентификация для Dropbox, настоятельно рекомендуется немедленно ее изменить.

Ключевые субъекты: Компании: Dropbox, Lenovo, 9to5Mac | Люди: Yoni Levy