Dropbox indique que 5 000 comptes ont été compromis via un ancien identifiant de connexion Lenovo
- Dropbox précise qu'environ 5 000 comptes ont été accessibles entre le 4 et le 21 août 2026 via une connexion Lenovo ID héritée permettant aux attaquants de s'authentifier uniquement avec l'adresse e-mail de la victime ; des fichiers ont été extraits d'environ un tiers de ces comptes.
- Cela a affecté les utilisateurs de Dropbox qui n'avaient jamais activé l'authentification multifacteur, car l'MFA aurait arrêté l'attaque.
- Les deux entreprises ont alerté les régulateurs, désactivé l'intégration et maintenu leurs enquêtes ouvertes.
Le service de stockage en nuage Dropbox a informé cette semaine 5 000 utilisateurs que leurs comptes avaient été accessibles par des pirates entre le 4 et le 21 août 2026, en raison d'une intégration dormant de connexion Lenovo ID qui permettait aux attaquants un accès direct sans mot de passe.
Les utilisateurs à risque étaient ceux de Dropbox qui stockaient des fichiers dans l'application de stockage en nuage et n'avaient jamais activé l'authentification multifacteur.
Connexion Dropbox effectuée sans mot de passe
La faille ayant permis l'accès aux attaquants était la connexion d'intégration entre Lenovo ID et Dropbox, et non pas un produit particulier. Selon TheNextWeb, n'importe qui pouvait enregistrer un Lenovo ID avec une adresse e-mail qui ne lui appartenait pas, car la configuration de Lenovo ne vérifiait jamais que l'adresse lui appartenait réellement. Dropbox, quant à lui, considérait le jeton Lenovo comme une preuve d'identité et autorisait ensuite l'accès au compte correspondant.
Le journaliste de sécurité The CyberSec Guru, cité par 9to5Mac, a décrit la chronologie des événements. Les acteurs malveillants et les pirates collectent des adresses e-mail publiques, puis enregistrent un compte Lenovo ID sous l'adresse d'une victime. Les pirates utilisent ensuite l'option « Continuer avec Lenovo » sur Dropbox, ce qui leur donne accès à une session active ne nécessitant pas de demande de mot de passe, puis un accès direct au compte Dropbox.
Un utilisateur qui a récupéré un compte piraté précédemment a constaté qu'il portait le nom d'affichage « John Madden », ce que 9to5Mac affirme être un signe d'enregistrements en masse.
Qu'ont perdu les victimes lors de l'attaque ?
Les fichiers ont été consultés ou téléchargés sur moins d'un tiers des quelque 5 000 comptes créés durant la période de cette attaque. Cela signifie qu'environ 1 500 comptes ont vu leurs données effectivement extraites, selon la mise à jour de 9to5Mac, tandis que pour environ 3 500 autres, aucune trace d'accès aux fichiers n'a été relevée. Il reste incertain si les intrus ciblait des documents spécifiques ou s'ils ont simplement parcouru automatiquement tous les comptes.
Il a été rapporté que les pirates ont consulté et téléchargé des contenus sur une part plus faible de comptes, et le porte-parole Tim Rathschmidt a déclaré qu'aucun des comptes compromis n'utilisait l'authentification multifacteur. Rathschmidt a également ajouté que Dropbox ne s'attend pas à ce que cet incident ait un impact significatif sur son activité.
Dropbox désactive l'intégration avec Lenovo ID
Après avoir pris connaissance du problème, Dropbox a mis fin à toutes les sessions authentifiées via un compte Lenovo ID, désactivé l'intégration et exige désormais un mot de passe natif Dropbox avant tout accès au compte.
Lenovo a identifié la faille comme une « intégration héritée » qu'elle a affirmé pouvoir être utilisée pour « authentifier de manière inappropriée certains comptes Dropbox ». La société a indiqué que ses propres utilisateurs étaient restés totalement épargnés et a confirmé que son enquête était toujours en cours.
La brèche a été révélée lors d'une enquête ultérieure et n'a pas été détectée par les systèmes de surveillance des deux entreprises.
L'authentification multifacteur aurait bloqué l'attaque, car la faille exploitait l'absence de besoin de mot de passe grâce à l'intégration de l'ID Lenovo, accordant l'accès s'il n'y avait pas de deuxième vérification pour confirmer l'identité.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Opeyemi Olanrewaju
Opeyemi se spécialise dans la création et l'amélioration de contenus de haute qualité centrés sur la cryptomonnaie, les marchés financiers mondiaux et l'économie. Il est diplômé de l'Université d'Ibadan avec un diplôme de médecin (MBBS). Il a travaillé comme rédacteur en chef de la publication éditoriale de son collège et précédemment chez CFA. Pendant plus de six ans, il a contribué à préserver l'unicité en tant que rédacteur en charge de l'actualité chez Cryptopolitan.
