Dropbox ha informato gli utenti di accessi non autorizzati ai propri account avvenuti tra il 4 e il 21 agosto 2026, dopo che degli aggressori hanno sfruttato una falla nella gestione del single sign-on (SSO) tramite Lenovo ID da parte del provider di archiviazione cloud.

L'azienda ha dichiarato che un problema nel processo di verifica email di Lenovo ha permesso a parti non autorizzate di registrare Lenovo ID utilizzando indirizzi email di altre persone e di usare quindi quelle identità per accedere agli account Dropbox associati agli stessi indirizzi. In una lettera agli utenti interessati, Dropbox ha affermato che, sebbene gli account siano stati acceduti senza autorizzazione, i registri non mostravano alcuna prova che i file fossero stati visualizzati o scaricati.

"Recentemente abbiamo identificato un accesso non autorizzato che ha interessato account Dropbox connessi tramite Lenovo ID che non avevano l'autenticazione a due fattori di Dropbox attivata", ha dichiarato a Decrypt un portavoce di Dropbox. "La nostra indagine ha stabilito che un problema nel processo di verifica email di Lenovo ha permesso a una parte non autorizzata di registrare un Lenovo ID utilizzando l'indirizzo email di un'altra persona e di usare quindi quel Lenovo ID per accedere all'account Dropbox associato a quell'indirizzo email."

"Circa 5000 account Dropbox sono stati interessati e meno di un terzo di questi account ha subito la visualizzazione o il download di file", ha aggiunto il portavoce. "Abbiamo inviato un'email direttamente a tutti gli utenti coinvolti. I clienti con domande sull'attività del proprio account possono contattare il nostro team di supporto. Se un utente non ha ricevuto un'email da parte nostra, il suo account non è stato interessato."

Secondo Dropbox, l'attacco non sembrava richiedere la password Dropbox della vittima né l'accesso alla sua casella di posta elettronica. Gli account interessati erano collegati a Lenovo ID e non avevano l'autenticazione a due fattori di Dropbox attivata, il che ha permesso agli aggressori di utilizzare Lenovo ID appena registrati con indirizzi email corrispondenti per accedere ad account esistenti senza ulteriori verifiche. Dropbox ha da allora modificato le modalità con cui i Lenovo ID possono accedere agli account.

L'incidente mette in luce un rischio più ampio legato alle soluzioni di accesso federato, in cui le credenziali di identità di un provider consentono l'accesso ad account su un altro servizio: quando il provider di identità a monte non verifica correttamente la proprietà dell'indirizzo email, ogni servizio a valle che si fida di quelle identità può rimanere esposto, anche quando il servizio a valle stesso non è stato violato. L'episodio sottolinea inoltre il motivo per cui l'autenticazione a due fattori di Dropbox è stata qui l'ultima efficace linea di difesa: gli account in cui era attivata non sono stati colpiti.

Uno degli utenti interessati, lo sviluppatore Yoni Levy, ha pubblicato su X gli screenshot della lettera:

so dropbox got hacked (never had a Lenovo account, haven't been to UK) pic.twitter.com/UoYRaJFuEC

— yoni | parser.eth (@yonilevy) August 31, 2026

Uno screenshot mostrava Dropbox avvisare Levy che un nuovo browser web aveva effettuato l'accesso al suo account da "Near Canary Wharf, England, United Kingdom" il 18 agosto alle 6:06 ora locale. L'accesso era avvenuto con Chrome su Windows. Levy ha dichiarato di non aver mai avuto un account Lenovo e di non essere mai stato nel Regno Unito.

Una successiva notifica di Dropbox ha informato Levy che la sua indagine aveva riscontrato che una parte non autorizzata aveva registrato un Lenovo ID utilizzando il suo indirizzo email e aveva poi usato tale ID per accedere al suo account Dropbox.

L'avvertimento segue altri allarmi sulla sicurezza degli account che hanno riguardato le principali piattaforme online. Martedì, utenti di X hanno segnalato un'ondata di email di reimpostazione password non richieste, avvisi di accesso da dispositivi sconosciuti e blocchi di account, sebbene X abbia dichiarato di non aver trovato prove di una nuova violazione. Un ingegnere di X ha affermato che gli aggressori sembravano tentare di prendere il controllo degli account per accedere a X Money.