Dropbox afirma que 5.000 contas foram violadas por meio de login legado da Lenovo

O serviço de armazenamento em nuvem Dropbox informou esta semana a 5.000 usuários que suas contas foram acessadas por hackers entre 4 e 21 de agosto de 2026, devido a uma integração inativa do Lenovo ID que permitia aos atacantes acesso direto sem o uso de senha.

Os usuários em risco eram aqueles que armazenavam arquivos no aplicativo de armazenamento em nuvem do Dropbox e nunca ativaram a autenticação multifator.

Login no Dropbox realizado sem senha

A falha que concedeu acesso aos atacantes foi a conexão de integração entre o Lenovo ID e o Dropbox, e não qualquer um dos produtos em particular. Segundo o TheNextWeb, qualquer pessoa podia registrar um Lenovo ID contra um endereço de e-mail que não era dela, pois a configuração da Lenovo nunca confirmava se o endereço pertencia ao usuário. O Dropbox, no entanto, considerava o token do Lenovo como prova de identidade e, em seguida, permitia o acesso à conta correspondente.

O escritor de segurança The CyberSec Guru, citado pelo 9to5Mac, descreveu a linha do tempo dos eventos. Atores mal-intencionados e hackers coletam endereços de email públicos e, em seguida, registram uma conta Lenovo ID sob o endereço da vítima. Os hackers então utilizaram a opção "Continuar com a Lenovo" no Dropbox, obtendo acesso a uma sessão ativa que não exige prompt de senha e, subsequentemente, acesso direto à conta do Dropbox.

Um usuário que recuperou uma conta inválida anteriormente acessada descobriu que ela continha o nome de exibição “John Madden”, o que o 9to5Mac afirma ser um sinal de registros em massa.

O que foi perdido no ataque?

Os ficheiros foram visualizados ou transferidos em menos de um terço das cerca de 5.000 contas abertas durante o período deste ataque. Isto significa que houve cerca de 1.500 contas onde material foi efetivamente retirado, segundo a atualização do 9to5Mac, e cerca de 3.500 onde não houve qualquer rasto de ficheiros terem sido tocados. Ainda não está claro se os intrusos estavam à procura de documentos específicos ou se simplesmente varreram as contas automaticamente.

Diz-se que os hackers visualizaram e transferiram material numa proporção menor de contas, e o porta-voz Tim Rathschmidt afirmou que nenhuma das contas comprometidas utilizava autenticação de dois fatores. Rathschmidt acrescentou ainda que a Dropbox não espera que este incidente tenha impacto nos seus negócios.

Dropbox desativa a integração com Lenovo ID

Ao tomar conhecimento do problema, a Dropbox encerrou todas as sessões autenticadas através de um Lenovo ID, desativou a integração e agora exige uma senha nativa da Dropbox antes que qualquer conta possa ser acedida.

A Lenovo rastreou o hack até uma "integração legada" que, segundo a empresa, poderia ser usada para "autenticar indevidamente certas contas do Dropbox". A empresa afirmou que seus próprios usuários permaneceram completamente intactos e confirmou que sua investigação ainda está em andamento.

A violação foi descoberta por meio de uma investigação posterior e não foi detectada pelos sistemas de monitoramento de ambas as empresas.

A autenticação multifator teria bloqueado o ataque, pois a falha explorou a necessidade de não usar senha na integração com a Lenovo ID, concedendo acesso caso não houvesse uma segunda verificação de confirmação.