Hackers kregen zonder Dropbox-wachtwoord toegang tot 5.000 accounts
De aanval maakte misbruik van een probleem met de koppeling tussen Lenovo ID en Dropbox. De ongeautoriseerde toegang vond plaats tussen 4 en 21 augustus. Aanvallers hoefden daarvoor niet het wachtwoord van een account te kennen. Volgens Dropbox konden zij een Lenovo ID registreren met het emailadres dat al aan een bestaand Dropbox-account gekoppeld was.
Normaal gesproken moet zo’n externe inlogmethode eerst worden geverifieerd, maar door een probleem met Lenovo’s e-mailverificatie gebeurde dat niet altijd. Daardoor konden de aanvallers via het nieuwe Lenovo ID rechtstreeks toegang krijgen tot het bijbehorende account.
Bestanden ook bekeken en gedownload
Dropbox bevestigt tegenover Bloomberg dat ongeveer 5.000 accounts zijn getroffen. Bij minder dan een derde daarvan hebben de aanvallers ook bestanden bekeken en gedownload. De getroffen accounts maakten volgens het bedrijf geen gebruik van multifactorauthenticatie.
Lenovo spreekt zelf van een probleem met een oudere integratie tussen Lenovo ID en Dropbox. De twee bedrijven hebben inmiddels maatregelen genomen om verder misbruik te voorkomen. Lenovo zegt dat eigen klantaccounts niet door het incident zijn getroffen en dat het onderzoek nog loopt.
Dropbox heeft alle actieve sessies die via Lenovo ID waren aangemaakt beëindigd. Daarnaast is het niet langer mogelijk om via Lenovo ID in te loggen zonder eerst het Dropbox-wachtwoord in te voeren. Getroffen gebruikers zijn inmiddels geïnformeerd en krijgen het advies hun wachtwoord te wijzigen. Dit is niet de eerste keer dat Dropbox is getroffen door een aanval.
