Dropbox, hackeado con dirección incluida
Unos 5.000 usuarios de Dropbox vieron comprometidas sus cuentas por una vulnerabilidad en el proceso de verificación del correo electrónico de Lenovo ID, un servicio que se utilizaba como método externo para iniciar sesión en Dropbox.
Dropbox informó a los usuarios afectados de que colaboraba con Lenovo como proveedor de identidad. Este sistema permite iniciar sesión en Dropbox mediante una cuenta de Lenovo verificada. El problema era que un atacante podía registrar un Lenovo ID con la dirección de correo electrónico de otra persona sin tener acceso a su buzón. Después, podía usar esa cuenta para entrar en el Dropbox asociado a esa dirección.
En otras palabras, para atacar bastaba con conocer la dirección de correo electrónico de la víctima. No hacía falta obtener de antemano su contraseña de Dropbox ni piratear su correo. La vulnerabilidad convirtió la autenticación externa en una puerta trasera al almacenamiento en la nube: un ejemplo poco brillante de cómo la tecnología debería hacernos la vida más fácil.
Los ataques se produjeron entre el 4 y el 21 de agosto. Dropbox señaló que la mayoría de las cuentas afectadas no tenían activada la autenticación en dos factores. En alrededor de un tercio de los casos hay indicios de que se consultaron o descargaron documentos almacenados. La empresa no dijo que se hubieran visto afectados todos los archivos de cada usuario cuya cuenta fue vulnerada.
La vulnerabilidad ya se ha corregido. Dropbox cerró por la fuerza todas las sesiones iniciadas a través de Lenovo ID y desvinculó las cuentas de Lenovo y Dropbox que estaban conectadas. Ahora, para iniciar sesión mediante Lenovo ID también hay que introducir la contraseña de Dropbox: ya no basta con el identificador externo.
La empresa también recomendó a los usuarios cambiar la contraseña de Dropbox, activar la verificación en dos pasos y actualizar la contraseña del correo electrónico. Esta última medida es especialmente importante: el acceso al correo suele permitir recuperar cuentas y interceptar avisos de seguridad.
Muhammad Yahya Patel, vCISO y asesor de ciberseguridad de Huntress para la región EMEA, afirmó que ninguna de las cuentas comprometidas tenía autenticación multifactor. Según él, en 2026, no activar MFA en un almacenamiento en la nube que contiene datos importantes es un agujero de seguridad grave que los usuarios podrían haber cerrado por su cuenta.
El experto calificó la combinación de un método externo de inicio de sesión sin verificar y la falta de MFA como una invitación en toda regla a los atacantes. Recomendó a organizaciones y particulares revisar periódicamente qué servicios externos tienen acceso a sus cuentas. Se trata de permisos OAuth, conexiones de inicio de sesión único SSO e integraciones de terceros, que pueden acumularse durante años y rara vez se eliminan cuando deja de existir la relación entre los servicios.
El caso de Dropbox demuestra que la contraseña ya no es el único cerrojo y que el inicio de sesión externo no es un botón inocuo. Si una cuenta guarda documentos, copias de seguridad o archivos de trabajo, la autenticación multifactor debe estar activada y hay que revisar periódicamente las antiguas conexiones con servicios externos.
PEREC.RU
El artículo trata del hackeo de unas 5.000 cuentas de Dropbox, posible por una vulnerabilidad en el mecanismo de verificación del correo electrónico de Lenovo ID. Lenovo ID se utilizaba como proveedor externo de identidad para que los usuarios pudieran iniciar sesión en Dropbox. El fallo permitía registrar un Lenovo ID con la dirección de correo de otra persona, sin verificar el acceso al buzón correspondiente. A continuación, el atacante podía usar ese Lenovo ID para acceder a la cuenta de Dropbox asociada a la dirección indicada.
Por tanto, los delincuentes solo necesitaban conocer la dirección de correo electrónico. No hacía falta conseguir la contraseña de Dropbox ni piratear el propio correo para lograr el acceso inicial. El incidente tuvo lugar entre el 4 y el 21 de agosto. Dropbox comunicó que la mayoría de las cuentas afectadas no tenían activada la autenticación en dos factores. En alrededor de un tercio de los casos hay indicios de que se consultaron o descargaron documentos almacenados en las cuentas.
Tras descubrir el problema, Dropbox corrigió la vulnerabilidad y tomó medidas adicionales. La empresa cerró por la fuerza todas las sesiones abiertas mediante Lenovo ID y puso fin a las conexiones entre las cuentas de Lenovo y Dropbox. Ahora, para iniciar sesión mediante Lenovo ID, el usuario también debe introducir su contraseña de Dropbox; el identificador externo por sí solo ya no basta.
Dropbox recomendó a los usuarios cambiar sus contraseñas, activar la verificación en dos pasos y actualizar la contraseña del correo electrónico. Esta última recomendación se debe a que las cuentas de correo suelen utilizarse para recuperar el acceso y recibir avisos de seguridad.
Muhammad Yahya Patel, vCISO y asesor de ciberseguridad de Huntress para la región EMEA, señaló que ninguna de las cuentas comprometidas tenía autenticación multifactor. Calificó la falta de MFA como una deficiencia grave en el caso de los almacenamientos en la nube que contienen documentos importantes y otros datos sensibles.
A juicio del experto, combinar un canal de autenticación externo sin verificar con la falta de MFA facilita enormemente el acceso a los atacantes. Aconseja a organizaciones y particulares revisar periódicamente qué servicios externos tienen permiso para acceder a sus cuentas. Conviene prestar especial atención a los permisos OAuth, las conexiones SSO y otras integraciones de autenticación de terceros.
Esos permisos pueden acumularse sin que nadie se dé cuenta y rara vez se eliminan cuando dejan de ser necesarios. Las principales medidas de protección tras el incidente son activar la autenticación multifactor, cambiar las contraseñas y eliminar las conexiones externas que ya no se usan. El caso de Dropbox demuestra que la seguridad de una cuenta en la nube no depende solo de la solidez de la contraseña, sino también del control de todos los servicios vinculados.
