Dropbox взломали по адресу
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Около 5000 аккаунтов Dropbox оказались скомпрометированы из-за уязвимости в процедуре подтверждения электронной почты Lenovo ID — сервиса, который использовался как сторонний способ входа в Dropbox.
Dropbox сообщил пострадавшим пользователям, что сотрудничает с Lenovo как с поставщиком удостоверений личности. Такая схема позволяет входить в Dropbox через подтверждённый аккаунт Lenovo. Проблема заключалась в том, что злоумышленник мог зарегистрировать Lenovo ID, указав чужой адрес электронной почты, не имея доступа к самому почтовому ящику. Затем созданный аккаунт использовался для входа в Dropbox, связанный с этим адресом.
Иными словами, для атаки преступникам было достаточно знать адрес электронной почты жертвы. Им не требовалось заранее получать пароль Dropbox или взламывать почту. Уязвимость превратила стороннюю авторизацию в обходной путь к облачному хранилищу — не самый удачный пример того, как технологии должны упрощать жизнь.
Атаки происходили с 4 по 21 августа. Dropbox отметил, что большинство затронутых аккаунтов не использовали двухфакторную аутентификацию. Примерно в трети случаев есть признаки того, что хранящиеся документы просматривали или скачивали. Данных о том, что были затронуты все файлы каждого взломанного пользователя, компания не приводила.
Уязвимость уже устранили. Dropbox принудительно завершил все сеансы, выполненные через Lenovo ID, и разорвал существующие связи между аккаунтами Lenovo и Dropbox. Теперь при входе через Lenovo ID обязательно нужно дополнительно ввести пароль Dropbox: одного стороннего идентификатора недостаточно.
Компания также рекомендовала пользователям сменить пароль Dropbox, включить двухэтапную проверку и обновить пароль электронной почты. Последняя мера особенно важна: доступ к почте часто позволяет восстанавливать учётные записи и перехватывать уведомления о безопасности.
Мухаммад Яхья Патель, vCISO и консультант по кибербезопасности Huntress в регионе EMEA, заявил, что все скомпрометированные аккаунты не имели многофакторной аутентификации. По его словам, в 2026 году отсутствие MFA на облачном хранилище с важными данными — серьёзный пробел в защите, который пользователи могли устранить самостоятельно.
Эксперт назвал сочетание непроверенного стороннего способа входа и отсутствия MFA фактически приглашением для злоумышленников. Он посоветовал организациям и частным пользователям регулярно проверять, какие внешние сервисы имеют доступ к их аккаунтам. Речь идёт о разрешениях OAuth, подключениях единого входа SSO и сторонних интеграциях, которые могут годами накапливаться и редко удаляются после завершения сотрудничества между сервисами.
История Dropbox показывает: пароль — уже не единственный замок, а сторонний вход — не безобидная кнопка. Если аккаунт хранит документы, резервные копии или рабочие файлы, многофакторная аутентификация должна быть включена, а старые подключения к внешним сервисам — регулярно пересматриваться.
PEREC.RU
Материал рассказывает о взломе примерно 5000 аккаунтов Dropbox, который стал возможен из-за уязвимости в механизме проверки электронной почты Lenovo ID. Lenovo ID использовался как сторонний сервис идентификации, позволяющий пользователям входить в Dropbox. Ошибка позволяла зарегистрировать Lenovo ID, указав чужой адрес электронной почты, без подтверждения доступа к соответствующему почтовому ящику. После этого злоумышленник мог применить созданный Lenovo ID для входа в аккаунт Dropbox, связанный с указанным адресом.
Таким образом, преступникам было достаточно знать адрес электронной почты. Получать пароль Dropbox или взламывать саму почту для первоначального доступа не требовалось. Инцидент произошёл в период с 4 по 21 августа. Dropbox сообщил, что большинство затронутых аккаунтов не использовали двухфакторную аутентификацию. Примерно в трети случаев имеются признаки просмотра или скачивания документов, хранившихся в аккаунтах.
После обнаружения проблемы Dropbox исправил уязвимость и принял дополнительные меры. Компания принудительно завершила все сеансы, открытые через Lenovo ID, а также прекратила связи между аккаунтами Lenovo и Dropbox. Теперь при входе через Lenovo ID пользователь обязан дополнительно ввести пароль Dropbox, поэтому одного стороннего идентификатора для доступа недостаточно.
Dropbox рекомендовал пользователям сменить пароли, включить двухэтапную проверку и обновить пароль электронной почты. Последняя рекомендация связана с тем, что почтовый аккаунт часто используется для восстановления доступа и получения уведомлений о безопасности.
Мухаммад Яхья Патель, vCISO и консультант по кибербезопасности Huntress в регионе EMEA, отметил, что все скомпрометированные аккаунты не имели многофакторной аутентификации. Он назвал отсутствие MFA серьёзным недостатком для облачных хранилищ, в которых могут находиться важные документы и другие чувствительные данные.
По мнению эксперта, сочетание непроверенного стороннего канала авторизации и отсутствия MFA фактически облегчает доступ злоумышленникам. Он советует организациям и частным пользователям периодически проверять, какие сторонние сервисы имеют право входить в их аккаунты. Особое внимание следует уделять разрешениям OAuth, подключениям SSO и другим интеграциям для сторонней авторизации.
Такие разрешения могут незаметно накапливаться и редко удаляются после прекращения необходимости в них. Основные меры защиты после инцидента — включить многофакторную аутентификацию, сменить пароли и удалить неиспользуемые сторонние подключения. История Dropbox показывает, что безопасность облачного аккаунта зависит не только от сложности пароля, но и от контроля всех связанных сервисов.
