Dropbox는 레거시 레노버 로그인을 통해 5,000개의 계정이 침해당했다고 밝혔습니다.

클라우드 스토리지 서비스 드롭박스(Dropbox)는 2026년 8월 4일부터 8월 21일 사이에 잠들어 있던 레노버 ID(Lenovo ID) 로그인 통합으로 인해 해커들이 비밀번호 없이 계정에 직접 접근했다고 이번 주 5,000명의 사용자에게 통보했습니다.

위험에 처한 사용자는 클라우드 스토리지 앱에 파일을 저장했지만 멀티팩터 인증(MFA)을 처음부터 설정하지 않은 드롭박스 사용자들이었습니다.

비밀번호 없이 접근한 드롭박스 로그인

해커들이 접근할 수 있게 해준 구멍은 특정 제품 때문이 아니라 레노버 ID와 드롭박스 간의 통합 연결이었습니다. TheNextWeb에 따르면, 레노버의 설정은 주소가 사용자의 것인지 확인하지 않았기 때문에 누구나 자신의 이메일 주소가 아닌 이메일 주소로 레노버 ID를 등록할 수 있었습니다. 반면 드롭박스는 레노버 토큰을 신원 증명으로 간주하여 일치하는 계정에 대한 접근을 허용했습니다.

보안 작가인 더 사이버섹 가루(The CyberSec Guru)가 9to5Mac에 인용되어 사건 시간표를 설명했습니다. 악의적인 행위자와 해커들은 공개된 이메일 주소를 수집한 후, 피해자의 주소로 레노버(Lenovo) ID를 등록합니다. 그런 다음 해커들은 Dropbox에서 'Lenovo로 계속하기' 옵션을 사용하여 비밀번호 확인 없이 라이브 세션에 접근할 수 있게 되었고, 결국 Dropbox 계정에 직접 접근하게 되었습니다.

이전에 접근했던 악성 계정을 되찾은 한 사용자는 해당 계정의 표시 이름이 “John Madden”이었으며, 이는 9to5Mac이 대량 등록의 징후라고 주장하는 것이라고 밝혔습니다.

공격으로 인해 무엇을 잃었나요?

파일은 이 공격 기간 동안 개설된 약 5,000개의 계정 중 3분의 1 미만의 계정에서 조회되거나 다운로드되었습니다. 9to5Mac의 업데이트에 따르면, 이는 약 1,500개의 계정에서 실제로 자료가 유출되었음을 의미하며, 약 3,500개의 계정에서는 파일이 만져진 흔적이 없었습니다. 침입자가 특정 문서를 노렸는지 아니면 자동으로 계정을 뒤졌는지는 아직 명확하지 않습니다.

해커들은 더 적은 비율의 계정에서 자료를 조회하고 다운로드한 것으로 알려졌으며, 대변인 Tim Rathschmidt는 침해된 계정 중 멀티팩터 인증을 사용한 곳이 없다고 밝혔습니다. Rathschmidt는 또한 드롭박스는 이번 사건이 비즈니스에 타격을 줄 것으로 예상하지 않는다고 덧붙였습니다.

드롭박스, 레노버 ID 통합 해제

문제를 발견한 드롭박스는 레노버 ID를 통해 인증된 모든 세션을 종료하고, 통합을 비활성화한 후 이제 어떤 계정에도 접근하기 전에 네이티브 드롭박스 비밀번호를 요구합니다.

레노버는 이 해킹을 “레거시 통합”으로 추적했으며, 이는 “특정 드롭박스 계정의 부당 인증”에 사용될 수 있다고 주장했습니다. 회사는 자체 사용자가 완전히 영향을 받지 않았다고 말했으며, 조사가 진행 중임을 확인했습니다.

이 침해는 나중에 조사된 결과로 드러났으며, 두 회사의 모니터링 시스템에서는 발견되지 않았습니다.

멀티 팩터 인증(MFA)은 공격을 차단했을 것입니다. 이 구멍은 레노버 ID 통합을 통해 비밀번호가 필요 없다는 점을 악용했으며, 추가 확인 절차가 없으면 접근 권한이 부여되었기 때문입니다.