Dropboxによると、旧型のLenovoログインシステムを通じて5,000件のアカウントが侵害されたとのことです。

クラウドストレージサービスのDropboxは今週、約5,000人のユーザーに対し、2026年8月4日から8月21日の間に、ハッカーがアカウントにアクセスしたことを通知した。これは、休止状態だったLenovo IDのサインイン連携機能により、攻撃者がパスワードを使用せずに直接アクセスできたためである。.

リスクにさらされたユーザーは、クラウドストレージアプリにファイルを保存していたものの、多要素認証を一度も開始していなかったDropboxユーザーだった。.

Dropboxへのログインがパスワードなしで行われました

攻撃者がアクセスできた原因は、Lenovo IDとDropboxの連携接続の脆弱性であり、特定の製品自体に問題があったわけではない。TheNextWebによると、Lenovoのシステムではメールアドレスが本人確認されないため、誰でも自分のものではないメールアドレスでLenovo IDを登録できてしまうという。しかし、DropboxはLenovoトークンをdent確認の証拠とみなし、該当するアカウントへのアクセスを許可していた。.

セキュリティライターのThe Cyber​​Sec Guruは、9to5Macが引用した記事の中で、 に説明している 。悪意のある攻撃者やハッカーは、公開されているメールアドレスを収集し、被害者のアドレスにLenovo IDを登録する。その後、ハッカーはDropboxの「Lenovoで続行」オプションを使用し、パスワード入力不要のライブセッションにアクセスすることで、Dropboxアカウントに直接アクセスできるようになる。

以前不正アクセスされたアカウントを取り戻したあるユーザーは、そのアカウントの表示名が「John Madden」だったことを発見した。9to5Macは、これは大量登録の兆候だと主張している。.

この攻撃で何が失われたのか？

今回の攻撃期間中に開設された約5,000のアカウントのうち、ファイルが閲覧またはダウンロードされたのは3分の1未満だった。9to5Macの最新情報によると、これは実際にデータが盗まれたアカウントは約1,500、ファイルが操作された tracが全くなかったアカウントは約3,500だったことを意味する。侵入者が特定の文書を狙っていたのか、それとも単にアカウントをmaticにスキャンしただけなのかは不明である。.

ハッカーたちはごく一部のアカウントでコンテンツを閲覧・ダウンロードしたとされており、広報担当のティム・ラートシュミット氏は、侵害されたアカウントはいずれも多要素認証を使用していなかったと述べた。ラートシュミット氏はまた、今回のdent Dropboxの事業に打撃を与えるとは考えていないとも付け加えた。.

DropboxがLenovo IDとの連携を停止

この問題が発覚すると、DropboxはLenovo IDで認証されたすべてのセッションを強制終了し、連携機能を停止し、現在ではどのアカウントにアクセスする場合でもDropboxのネイティブパスワードを要求するように変更した。.

レノボは、今回のハッキングの原因を「レガシーシステムとの連携」に起因するものと tracし、このシステムを利用して「特定のDropboxアカウントを不正に認証する」ことが可能だったと主張した。同社は、自社ユーザーには全く影響がなかったとし、調査は現在も継続中であることを確認した。.

この情報漏洩は後の調査で発覚したものであり、両社の監視システムでは検知されていなかった。.

多要素認証があればこの攻撃は阻止できたはずだ。なぜなら、この脆弱性はLenovo IDとの連携においてパスワードが不要である点を悪用し、確実性を確保するための2段階目のチェックがなければアクセスを許可してしまうものだったからだ。