Dropbox: 5 tys. kont skompromitowanych przez Lenovo ID

Między 4 a 21 sierpnia luka w systemie Lenovo ID umożliwiła atakującym uzyskanie dostępu do kont Dropbox bez użycia haseł. Firma szacuje, że łącznie około 5 tys. kont zostało skompromitowanych.

Atak polegał na rejestracji fałszywych tożsamości w Lenovo ID. Formularz rejestracyjny akceptował dowolny adres e‑mail bez weryfikacji własności, co pozwalało założyć konto na adres należący do innej osoby.

Dropbox traktował zweryfikowane tożsamości z Lenovo ID jako alternatywny sposób logowania. Prezentacja konta Lenovo ID skojarzonego z adresem e‑mail istniejacego użytkownika powodowała przyznanie dostępu do konta Dropbox bez podania hasła.

Ofiary nie musiały posiadać konta w systemie Lenovo; wystarczyło, że atakujący zarejestrował Lenovo ID z ich adresem e‑mail. W wybranych przypadkach osoby trzecie przeglądały i pobierały pliki z kont ofiar.

Lenovo potwierdziło, że usterka wynikała z problemu w jego systemie i poinformowało, iż jego własni klienci nie zostali poszkodowani. Dropbox unieważnił wszystkie sesje uwierzytelnione przez Lenovo ID i wprowadził dodatkowy wymóg podawania hasła przy logowaniu za pośrednictwem tego dostawcy tożsamości.

Dropbox zalecił zmianę haseł oraz włączenie uwierzytelniania dwuskładnikowego. Firma przekazała, że nie znaleziono dowodów masowego wycieku danych, lecz w niektórych przypadkach pliki zostały wyświetlone lub pobrane przez osoby trzecie.

Technicznie problem wynikał z polegania przez Dropbox na zewnętrznym dostawcy tożsamości. Jeśli dostawca błędnie potwierdza prawo do adresu e‑mail, serwis uzyskuje fałszywe potwierdzenie i przyznaje dostęp osobie, która nie udowodniła własności tego adresu.

Luka była dostępna przez 17 dni. Użytkownicy, których konta mogły być dotknięte, powinni sprawdzić aktywność konta i uprawnienia aplikacji.