Die Lenovo ID kann ohne Bestätigungscode registriert werden, was dazu führt, dass Hacker auf eine große Anzahl von Dropbox-Konten zugreifen

Zusammenfassung:

Vor Kurzem erhielten viele Benutzer von Dropbox-Netzwerkfestplatten Sicherheitsbenachrichtigungen, die besagten, dass ihre Konten zwischen dem 4. und 21. August 2026 unbefugtem Zugriff ausgesetzt waren. Dieses Sicherheitsproblem wurde nicht durch einen Hackerangriff auf die Infrastruktur von Dropbox verursacht. Die konkrete Ursache war eine Vertrauenslücke bei der Lenovo ID-Registrierung und der Dropbox-SSO-Anmeldung.

Sie müssen nur Ihre E-Mail-Adresse kennen, um Dropbox zu übernehmen:

Laut der bisher offengelegten Angriffskette gibt es einen Fehler bei der E-Mail-Verifizierung im Lenovo ID-Registrierungsprozess. Der Angreifer kann die E-Mail-Adresse des Opfers verwenden, um ein Lenovo-Konto zu erstellen, und es ist nicht erforderlich, einen E-Mail-Bestätigungscode zu senden, um zu überprüfen, ob die E-Mail-Adresse tatsächlich dem Registranten gehört.

Das Problem wurde dann durch den SSO-Anmeldemechanismus von Dropbox verstärkt. Dropbox gleicht vorhandene Konten anhand der von Lenovo bereitgestellten E-Mail-Identität ab. Nachdem sich der Angreifer mit einer gefälschten Lenovo-ID angemeldet hat, kann er daher direkt die vollständige Kontrolle über das entsprechende Dropbox-Konto erlangen, ohne dass Kontokennwörter und andere Überprüfungen erforderlich sind.

Was noch schlimmer ist: Das Opfer musste vorher nicht einmal eine Lenovo-ID registrieren oder ein Dropbox-Konto binden. Dropbox hat eine langfristige Cloud-Speicherkooperation mit Lenovo, und Lenovo-Benutzer können Dropbox über entsprechende Dienste erwerben und nutzen.

Dropbox hat eine Sitzungsabmeldung erzwungen und den Anmeldevorgang geändert:

Dropbox hat nach einer Untersuchung alle über Lenovo ID eingerichteten Sitzungen abgemeldet und außerdem die betroffenen Konten von Lenovo ID getrennt. Wenn Benutzer weiterhin über die Lenovo ID zugreifen möchten, müssen sie jetzt zur Überprüfung ihr Dropbox-Kontokennwort eingeben und können sich nicht mehr direkt anmelden.

Die Prüfung ergab, dass während des Angriffsfensters auf einige Konten von Hackern zugegriffen wurde. Dropbox sagte jedoch, dass die aktuellen Protokolle keine Hinweise darauf fanden, dass Benutzerdateien angezeigt oder heruntergeladen wurden. Darüber hinaus hat Lenovo diesen Vorfall bisher nicht in einem Sicherheitsbulletin offengelegt.