- Dropbox表示，2026年8月4日至21日期间，约有5,000个账户通过过时的Lenovo ID登录方式被访问，攻击者仅需受害者邮箱即可完成身份验证，其中约三分之一的账户文件被窃取。
- 受影响的是从未启用多因素认证的Dropbox用户，因为MFA本可阻止此次攻击。
- 两家公司均已向监管机构发出警报，禁用了该集成功能，并保留进一步调查的权利。
云存储服务 Dropbox 本周通知约 5,000 名用户，其账户在 2026 年 8 月 4 日至 8 月 21 日期间遭到黑客入侵。此次漏洞源于一个长期未使用的 Lenovo ID 登录集成功能，攻击者借此无需密码即可直接访问用户账户。
受威胁的用户为那些将文件存储在 Dropbox 云端应用且从未启用多因素身份验证（MFA）的 Dropbox 用户。
无需密码即可访问 Dropbox 登录
攻击者得以入侵的漏洞在于 Lenovo ID 与 Dropbox 之间的集成连接，而非特定产品本身的问题。据 TheNextWeb 报道，任何人都可以使用非本人邮箱注册 Lenovo ID，因为 Lenovo 的设置从未验证该邮箱是否属于注册用户。然而，Dropbox 将 Lenovo Token 视为身份凭证，并据此允许访问匹配的账户。
安全作家The CyberSec Guru（被9to5Mac引用）描述了事件的时间线。不良行为者和黑客收集公开邮箱地址，随后在受害者的邮箱下注册Lenovo ID。接着，黑客利用Dropbox上的“使用Lenovo继续”选项，获得无需密码提示即可进入的实时会话权限，进而直接访问该Dropbox账户。
一名成功夺回曾被非法访问账户的用户发现，该账户的显示名称为“John Madden”。9to5Mac 指出，这很可能是批量注册的迹象。
此次攻击中丢失了什么？
在约 5,000 个于此次攻击期间开设的账户中，仅有不到三分之一被查看或下载过文件。根据 9to5Mac 的最新报道，这意味着约有 1,500 个账户中的资料确实被盗，而其余约 3,500 个账户则未发现任何文件被触碰的痕迹。目前尚不清楚入侵者是针对特定文档，还是自动扫描了所有账户。
据称黑客仅查看了并下载了较小比例账户中的资料。发言人 Tim Rathschmidt 表示，所有遭泄露的账户均未启用多因素认证。Rathschmidt 还补充道，Dropbox 预计此次事件不会对其业务造成重大打击。
Dropbox 关闭与 Lenovo ID 的集成
在发现该问题后，Dropbox 终止了所有通过 Lenovo ID 认证的会话，关闭了相关集成功能，并要求用户必须设置原生的 Dropbox 密码才能访问账户。
联想将此次黑客攻击归因于一种“遗留集成”方式，该公司声称该方式可被用于“不当验证某些 Dropbox 账户”。公司表示其自身用户完全未受影响，并确认调查仍在进行中。
此次数据泄露是在后续调查中曝光的，并未被两家公司的监控系统发现。
多因素认证本可阻止此次攻击，因为该漏洞利用了通过 Lenovo ID 集成无需密码的特性，在未进行二次验证确认的情况下授予了访问权限。
不要只是阅读加密货币新闻，要真正理解它。订阅我们的通讯。 免费。
Opeyemi Olanrewaju
Opeyemi 专注于创作和打磨高质量内容，聚焦加密货币、全球金融市场及宏观经济领域。他毕业于伊巴丹大学，拥有医学博士（MBBS）学位。他曾担任学院编辑出版物的主编，并在 CFA 任职。在 Cryptopolitan 担任新闻编辑的六年多时间里，他一直致力于维护内容的独特性。
