Dropbox、レガシーなLenovoログインを通じて5,000件のアカウントが侵害されたと発表

クラウドストレージサービスDropboxは、今週、2026年8月4日から8月21日の間に、休眠していたLenovo IDのサインイン統合により、攻撃者がパスワードを使用せずにアカウントに直接アクセスしたことを、5,000人のユーザーに通知しました。

リスクにあったユーザーは、クラウドストレージアプリにファイルを保存したが、多要素認証を一度も開始しなかったDropboxユーザーでした。

パスワードなしでDropboxログインがアクセスされる

攻撃者にアクセスを許可した欠陥は、特定の製品ではなく、Lenovo IDとDropbox間の統合接続でした。TheNextWebによると、Lenovoのセットアップはアドレスがユーザーのものであることを確認しなかったため、誰でも自分のものではないメールアドレスに対してLenovo IDを登録できました。しかし、DropboxはLenovoトークンを身元の証明として認識し、一致するアカウントへのアクセスを許可しました。

9to5Macによって引用されたセキュリティライター、The CyberSec Guruは、一連の出来事のタイムラインを説明した。悪意のある行為者やハッカーは公開されているメールアドレスを収集し、その後被害者のアドレスの下にLenovo IDを登録する。その後、ハッカーはDropboxの「Lenovoで続行」オプションを使用して、パスワードプロンプトを必要としないライブセッションへのアクセス、ひいてはDropboxアカウントへの直接アクセスを入手した。

以前にアクセスされた不正なアカウントを回復した一人のユーザーは、表示名が「John Madden」であることを発見しました。9to5Macは、これは一括登録の兆候であると主張しています。

攻撃で失われたものは何ですか？

ファイルの閲覧またはダウンロードは、この攻撃期間中に開設された約5,000のアカウントの3分の1未満で発生しました。9to5Macの更新によると、これは実際には約1,500のアカウントで資料が持ち出されたことを意味し、約3,500のアカウントではファイルが触られた痕跡はありませんでした。侵入者が特定の文書を狙っていたのか、それともアカウントを自動的にスキャンしただけなのかは不明です。

ハッカーは、より少ない割合のアカウントで資料の閲覧とダウンロードを行ったとされ、スポークスパーソンであるTim Rathschmidt氏は、侵害されたアカウントのいずれも多要素認証を使用していなかったと述べています。Rathschmidt氏はまた、Dropboxはこのインシデントがビジネスに打撃になるとは考えていないと付け加えました。

DropboxはLenovo IDの統合をオフにします

問題に気づいたDropboxは、Lenovo IDを通じて認証されたすべてのセッションを終了し、統合をオフにし、現在、どのアカウントにもアクセスする前にネイティブのDropboxパスワードを要求しています。

Lenovoは、このハッキングを「レガシー統合」に遡り、これが「特定のDropboxアカウントの不適切な認証」に使用された可能性があると主張しました。同社は、自社のユーザーは完全に影響を受けていないとし、調査がまだ進行中であることを確認しました。

この侵害は、後の調査を通じて表面化し、両社の監視システムでは検出されませんでした。

セキュリティライターであるThe CyberSec Guruは9to5Macによって引用され、出来事のタイムラインを説明した。悪意のある行為者やハッカーは公開メールアドレスを収集し、その後被害者のアドレスの下にLenovo IDを登録する。ハッカーはその後、Dropboxで「Lenovoで続行」オプションを使用し、パスワードプロンプトを必要としないライブセッションへのアクセス、ひいてはDropboxアカウントへの直接アクセスを手に入れた。