Хакер взломал 5 000 аккаунтов Dropbox через уязвимость Lenovo ID

Хакер взломал около 5 000 учетных записей в облачном хранилище Dropbox, воспользовавшись уязвимостью в системе аутентификации, связанной с производителем ПК Lenovo.

В понедельник пользователи начали получать уведомления от Dropbox о несанкционированном доступе к их данным. «Мы пишем, чтобы сообщить вам, что зафиксировали несанкционированный доступ к вашей учетной записи Dropbox в период с 4 по 21 августа 2026 года», — говорится в сообщении компании.

Злоумышленник получил доступ к аккаунтам, злоупотребив Lenovo ID — системой входа и управления учетными записями. Lenovo ID можно использовать для регистрации и авторизации в Dropbox. Однако, судя по всему, эта интеграция позволяла перехватить существующую учетную запись Dropbox, если хакеру был известен адрес электронной почты пользователя.

В письме Dropbox пояснил: «Даже если у вас нет учетной записи Lenovo ID, наше расследование показало, что проблема в процессе проверки электронной почты Lenovo позволила постороннему лицу зарегистрировать Lenovo ID на ваш адрес электронной почты, а затем использовать этот ID для входа в аккаунт Dropbox, привязанный к этому адресу».

Таким образом, Dropbox и Lenovo трактовали два разных способа входа как один, поскольку оба использовали один и тот же email. «Серьезный провал в безопасности со стороны Dropbox», — написал один из пользователей на форуме Hacker News. «Нельзя разрешать привязку существующего аккаунта к новому методу входа без предварительного подтверждения того, что пользователь может войти с помощью уже существующего метода».

Утечка вызывает обеспокоенность, так как Dropbox часто используется для хранения конфиденциальных документов. Впрочем, масштаб атаки относительно невелик. По данным Bloomberg, было скомпрометировано около 5 000 аккаунтов, ни один из которых не был защищен многофакторной аутентификацией. В свою очередь, Lenovo охарактеризовала проблему как «устаревшую интеграцию» с Dropbox, над устранением которой обе компании уже работали.

В некоторых случаях Dropbox сообщил пользователям, что в логах нет доказательств просмотра или скачивания их файлов. «Для защиты вашего аккаунта мы незамедлительно завершили все сеансы, выполненные через Lenovo ID. Мы также разорвали связь между Lenovo и вашей учетной записью Dropbox; теперь никто не сможет получить доступ к аккаунту через Lenovo ID без ввода вашего пароля Dropbox», — добавили в компании.

Dropbox пока не ответил на запрос о комментариях.