Chyba ve starém přihlášení přes Lenovo ID zpřístupnila útočníkům 5 000 účtů Dropboxu

Dropbox upozornil přibližně 5 000 uživatelů, že útočníci napadli jejich účty přes starý způsob přihlašování pomocí Lenovo ID. Incident zasáhl účty Dropboxu propojené s přihlašovacími údaji Lenovo.

Podle Dropboxu byla chyba v ověřování e-mailových adres u společnosti Lenovo. Útočník si mohl založit Lenovo ID s e-mailovou adresou uživatele Dropboxu a přes propojení získat přístup k odpovídajícímu účtu. Nemusel přitom znát heslo k Dropboxu. Dropbox nevysvětlil, proč stará integrace takový přístup umožňovala ani jak dlouho byla chyba dostupná před samotným útokem.

K napadení docházelo od 4. do 21. srpna 2026. Dropbox uvedl, že útočníci otevřeli soubory u méně než třetiny z přibližně 5 000 zasažených účtů. Neupřesnil počet otevřených souborů, jejich obsah ani to, zda šlo o osobní, nebo firemní účty. U žádného zasaženého účtu nebylo zapnuté dvoufaktorové ověření. To při přihlášení vedle hesla vyžaduje další způsob potvrzení identity.

Dropbox po odhalení incidentu ukončil všechna přihlášení vytvořená přes Lenovo ID a zrušil propojení dotčených účtů s touto službou. Zasažené uživatele vyzval ke změně hesla k Dropboxu i osobnímu e-mailu a k zapnutí dvoufaktorového ověření. Termín pro provedení změn neuvedl. Lenovo sdělilo, že jeho zákazníci zasaženi nebyli a vyšetřování pokračuje.

Účty, které propojení s Lenovo ID nepoužívaly, nejsou podle dostupných informací tímto incidentem dotčeny. Staré přihlašovací vazby mohou zůstat cestou k používaným službám i poté, co je už nikdo aktivně nespravuje. V evidenci přístupů proto mají místo také propojené identity a údaj o zapnutém dvoufaktorovém ověření. Rozsah škody nelze přesně vyhodnotit bez seznamu zpřístupněných dat. Nejasný zůstává také způsob odhalení útoku a důvod, proč propojení obešlo heslo k Dropboxu.