Dropbox признала несанкционированный вход через Lenovo ID
Автор: Марта Баринова Dropbox разослала части пользователей предупреждения о несанкционированном доступе к аккаунтам между 4 и 21 августа 2026 года. В письме компания объяснила, что вход был связан с Lenovo ID, который Dropbox использует как сторонний способ подтверждения личности. По словам пользователя, опубликовавшего сообщение, сервис считает, что файлы в затронутых аккаунтах могли просматривать или загружать.
Hacker News пишет, что Dropbox указала на проблему в процессе проверки адреса электронной почты у Lenovo. По версии компании, злоумышленник смог зарегистрировать Lenovo ID на чужой адрес, а затем использовать его для входа в связанный аккаунт Dropbox.
В пересказе говорится, что Dropbox уже завершила все сессии, которые проходили через Lenovo ID, и убрала привязку Lenovo к затронутому аккаунту. Там же приводится цитата из письма: «у нас есть данные о несанкционированном доступе к вашему аккаунту Dropbox между 4 и 21 августа 2026 года».
Как работал вход через Lenovo ID
Dropbox доверяла Lenovo как провайдеру идентификации. Если Lenovo помечала адрес как подтвержденный, Dropbox принимала такой вход как легитимный и открывала доступ к аккаунту, связанному с этим адресом.
Пользователь, получивший уведомление, восстановил цепочку атаки так: сначала злоумышленник регистрировал Lenovo ID на адрес жертвы, затем Lenovo некорректно считала почту подтвержденной, после чего Dropbox принимала эту идентичность и пускала в аккаунт без лишних шагов.
В письме также сказано, что после инцидента подтверждение через Lenovo для аккаунта больше нельзя использовать без предварительного ввода пароля Dropbox. Старый путь входа сервис закрыл уже после обнаружения проблемы.
Автор сообщения пишет, что не нашел публичного раскрытия у Dropbox или Lenovo на момент публикации. Он также спросил, насколько широко был доступен механизм входа через Lenovo ID и сколько аккаунтов мог затронуть инцидент.
