Il servizio di cloud storage Dropbox ha informato questa settimana circa 5.000 utenti che i loro account sono stati accessi da hacker tra il 4 agosto e il 21 agosto 2026, perché un'integrazione di accesso Lenovo ID rimasta inattiva ha consentito l'accesso diretto senza password.

Gli utenti a rischio erano clienti Dropbox che archiviavano file nell'app di cloud storage e non avevano attivato l'autenticazione a più fattori, a conferma di quanto le protezioni dell'account possano essere importanti anche quando la piattaforma principale di un servizio non viene compromessa direttamente.

Accesso a Dropbox senza password

La falla che ha consentito agli aggressori di entrare era l'integrazione tra Lenovo ID e Dropbox, non uno dei due prodotti in sé. Secondo TheNextWeb, chiunque poteva registrare un Lenovo ID usando un indirizzo email che non gli apparteneva, perché la configurazione di Lenovo non verificava che l'indirizzo appartenesse al registrante. Dropbox, però, considerava il token Lenovo come prova d'identità e concedeva quindi l'accesso all'account corrispondente.

Il giornalista di sicurezza The CyberSec Guru, citato da 9to5Mac, ha descritto la sequenza degli eventi. Gli aggressori hanno raccolto indirizzi email pubblici e poi hanno registrato un Lenovo ID sotto l'indirizzo di una vittima. Successivamente hanno usato l'opzione “Continue with Lenovo” su Dropbox, ottenendo l'accesso a una sessione attiva senza richiesta di password e, da lì, l'accesso diretto all'account Dropbox.

Un utente che ha recuperato un account compromesso in precedenza ha trovato che mostrava il nome “John Madden”, che 9to5Mac indica come segno di registrazioni in massa.

Cosa è stato sottratto nell'attacco?

File sono stati visualizzati o scaricati in meno di un terzo dei circa 5.000 account aperti durante il periodo dell'attacco. Ciò implica che in circa 1.500 account del materiale è stato effettivamente sottratto, secondo l'aggiornamento di 9to5Mac, mentre in circa 3.500 non sono emerse tracce di file toccati. Non è ancora chiaro se gli intrusi cercassero documenti specifici o se stessero semplicemente scorrendo gli account in modo automatico.

Il portavoce Tim Rathschmidt ha dichiarato che nessuno degli account compromessi utilizzava l'autenticazione a più fattori. Rathschmidt ha aggiunto che Dropbox non si aspetta che l'incidente abbia un impatto sul proprio business.

Dropbox disattiva l'integrazione Lenovo ID

Dopo aver appreso del problema, Dropbox ha terminato tutte le sessioni autenticate tramite Lenovo ID, disattivato l'integrazione e ora richiede una password nativa di Dropbox prima che qualsiasi account possa essere accesso.

Lenovo ha ricondotto l'incidente a una “legacy integration” che, secondo l'azienda, poteva essere usata per “improperly authenticate certain Dropbox accounts”. L'azienda ha affermato che i propri utenti non sono stati completamente coinvolti e ha confermato che la sua indagine è ancora in corso.

La violazione è emersa in seguito a un'indagine successiva e non è stata rilevata dai sistemi di monitoraggio di entrambe le aziende.

L'autenticazione a più fattori avrebbe bloccato l'attacco, perché la falla sfruttava la possibilità di accesso senza password tramite l'integrazione Lenovo ID, concedendo l'accesso in assenza di un secondo controllo di verifica.

Non limitarti a leggere le notizie crypto. Capiamole. Iscriviti alla nostra newsletter. È gratuita.