Der Cloud-Speicherdienst Dropbox informierte in dieser Woche rund 5.000 Nutzer darüber, dass ihre Konten zwischen dem 4. August und dem 21. August 2026 von Hackern aufgerufen wurden, weil eine inaktive Lenovo-ID-Anmeldeintegration einen direkten Zugriff ohne Passwort ermöglichte.

Betroffen waren Dropbox-Kunden, die Dateien in der Cloud-Speicher-App abgelegt hatten und keine Multi-Faktor-Authentifizierung aktiviert hatten, was zeigt, wie wichtig Kontoschutz selbst dann sein kann, wenn die Kernplattform eines Dienstes nicht direkt kompromittiert wurde.

Dropbox-Login ohne Passwort zugänglich

Die Schwachstelle, die den Angreifern Zugriff verschaffte, lag in der Integration zwischen Lenovo ID und Dropbox und nicht in einem der beiden Produkte selbst. Laut TheNextWeb konnte jeder eine Lenovo ID mit einer E-Mail-Adresse registrieren, die ihm nicht gehörte, weil Lenovos Einrichtung nicht überprüfte, ob die Adresse dem Registrierenden tatsächlich gehörte. Dropbox wiederum wertete das Lenovo-Token als Identitätsnachweis und gewährte dann Zugriff auf das zugehörige Konto.

Der Sicherheitsautor The CyberSec Guru, zitiert von 9to5Mac, beschrieb den Ablauf. Angreifer sammelten öffentliche E-Mail-Adressen und legten anschließend unter der Adresse eines Opfers eine Lenovo ID an. Danach nutzten sie bei Dropbox die Option „Continue with Lenovo“, die ihnen eine Live-Sitzung ohne Passwortabfrage und anschließend direkten Zugriff auf das Dropbox-Konto verschaffte.

Ein Nutzer, der ein zuvor aufgerufenes Rogue-Konto zurückerlangte, stellte fest, dass es den Anzeigenamen „John Madden“ trug, was laut 9to5Mac ein Hinweis auf Massenregistrierungen ist.

Was wurde bei dem Angriff entnommen?

Bei weniger als einem Drittel der rund 5.000 Konten, die während des Angriffszeitraums geöffnet wurden, wurden Dateien angesehen oder heruntergeladen. Das bedeutet laut einem Update von 9to5Mac, dass bei etwa 1.500 Konten tatsächlich Material entnommen wurde, während es bei rund 3.500 keine Spuren gab, dass Dateien berührt wurden. Weiterhin ist unklar, ob die Eindringlinge gezielt nach bestimmten Dokumenten suchten oder die Konten lediglich automatisiert durchgingen.

Der Sprecher Tim Rathschmidt sagte, keines der kompromittierten Konten habe Multi-Faktor-Authentifizierung genutzt. Rathschmidt ergänzte außerdem, Dropbox erwarte keine Auswirkungen des Vorfalls auf das Geschäft.

Dropbox schaltet Lenovo-ID-Integration ab

Nachdem Dropbox von dem Problem erfahren hatte, beendete das Unternehmen jede Sitzung, die über eine Lenovo ID authentifiziert worden war, deaktivierte die Integration und verlangt nun vor dem Zugriff auf ein Konto ein natives Dropbox-Passwort.

Lenovo führte den Vorfall auf eine „legacy integration“ zurück, die laut dem Unternehmen dazu verwendet werden konnte, „certain Dropbox accounts improperly authenticate“ zu lassen. Das Unternehmen erklärte, die eigenen Nutzer seien vollständig nicht betroffen gewesen, und bestätigte, dass die Untersuchung noch andauere.

Die Kompromittierung wurde erst durch eine spätere Untersuchung entdeckt und weder von den Überwachungssystemen von Dropbox noch von Lenovo erkannt.

Multi-Faktor-Authentifizierung hätte den Angriff blockiert, da die Schwachstelle den fehlenden Passwortschutz über die Lenovo-ID-Integration ausnutzte und damit keine zweite Sicherheitsprüfung vorhanden war.

Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.