Представители Dropbox предупредили более 5000 пользователей о компрометации их аккаунтов. По данным компании, злоумышленники воспользовались ошибкой в процессе проверки email-адресов со стороны Lenovo и старой интеграцией между Lenovo ID и Dropbox, которая позволяла войти в чужой аккаунт без пароля.

В компании объясняют, что старая интеграция позволяла войти в Dropbox с помощью подтвержденного Lenovo ID. Однако из-за ошибки в процессе верификации атакующие могли зарегистрировать Lenovo ID на email-адрес жертвы, а затем использовать его для входа в связанную учетную запись Dropbox.

При этом у некоторых пострадавших  вообще не было аккаунта Lenovo до атаки. Дело в том, что из-за бага при проверке email злоумышленники могли самостоятельно зарегистрировать Lenovo ID на адрес жертвы. В итоге Dropbox считал такой аккаунт подтверждением того, что владелец Lenovo ID контролирует указанный почтовый адрес, и не требовал дополнительно подтверждать вход через существующую учетную запись Dropbox или вводить пароль.

По информации специалистов Dropbox, злоумышленники использовали эту схему с 4 по 21 августа 2026 года. В общей сложности хакеры скомпрометировали около 5000 аккаунтов, причем ни в одном из них не была включена двухфакторная аутентификация (2ФА). В результате атакующие получили доступ к файлам примерно трети жертв, а в некоторых случаях просматривали и скачивали содержимое личных хранилищ.

Одним из пострадавших оказался сооснователь компании Casa Джеймсон Лопп (Jameson Lopp). По его словам, хакеры попытались открыть лишь один файл в его Dropbox — IMPORTANT.rtf, но перед загрузкой в облако Лопп зашифровал его локально.

Некоторые пользователи обратили внимание на подозрительные входы в Dropbox примерно за две недели до публичного раскрытия информации об инциденте. К примеру, один из пострадавших писал, что страница авторизации Dropbox неожиданно начала предлагать ему вариант Continue with SSO, хотя он никогда не создавал Lenovo ID. После уведомления о подозрительном входе пользователь сменил пароль и включил 2ФА.

Обнаружив проблему, специалисты Dropbox завершили все сессии, открытые через Lenovo ID, а также отвязали все пострадавшие аккаунты от Lenovo ID. Кроме того, теперь при попытке авторизоваться через Lenovo ID потребуется дополнительно ввести пароль от аккаунта Dropbox.

Всем пострадавшим рекомендуют сменить пароли от Dropbox и личной почты, а также включить двухфакторную аутентификацию.