Duizenden Dropbox-gebruikers hebben ongewenst bezoek gekregen. De accounts zijn gekraakt door een fout in Lenovo ID, zelfs wanneer de eigenaar van het account dat niet heeft.
Maandag kregen enkele duizenden Dropbox-gebruikers een boodschap die niemand wil krijgen: “We hebben ongeautoriseerde toegang tot je account opgemerkt tussen 4 en 21 augustus”. De e-mail werd door getroffen gebruikers verspreid via X en sociale mediakanalen. Volgens Reuters zou het om ongeveer 5.000 getroffen accounts gaan.
Het is niet Dropbox, maar Lenovo dat het meeste boter op zijn hoofd heeft. De oorzaak blijkt namelijk een verificatiefout in Lenovo ID te zijn. Met een Lenovo-account kan je zonder wachtwoord aanmelden bij diensten die het ondersteunen, zoals Dropbox. Maar net die integratie heeft onbedoeld de deuren van Dropbox-kluizen opengezet.
Aanmelden met Lenovo ID
De hackers buiten de koppeling tussen Lenovo en Dropbox uit om toegang te krijgen. De rechtmatige eigenaar van het account hoefde zelfs niet eens een Lenovo ID te hebben. Hackers konden met een legitiem e-mailadres een Lenovo ID in iemands naam aanmaken en toegang krijgen tot een Dropbox-account dat aan datzelfde e-mailadres gelinkt is, zonder een wachtwoord te moeten ingeven.
Volgens Lenovo is de fout ontstaan door een legacyintegratie met Dropbox, die minstens twee weken lang de deur heeft opengezet. Dat komt omdat de systemen van Dropbox aanmeldpogingen via Lenovo ID automatisch goedkeurden zonder verdere verificatie, als 2FA niet geactiveerd was. Dropbox verklaart dat voor een derde van de getroffen accounts sprake was van toegang tot bestanden.
Dropbox merkte de ongeautoriseerde loginpogingen rond 21 augustus op en ondernam meteen actie. Alle actieve sessies goedgekeurd door Lenovo ID werden beëindigd en de koppeling met Lenovo ID werd tijdelijk losgebroken. Vanaf nu moet je ook met Lenovo ID nog steeds een wachtwoord ingeven om toegang te krijgen tot Dropbox. In 2024 werd Dropbox een laatste keer gehackt. Dit incident dat hoewel wachtwoorden hun beperkingen hebben, wachtwoordloze inlogmethodes evengoed niet feilloos zijn.