クラウドストレージサービスのDropboxは今週、2026年8月4日から8月21日の間に、休眠状態だったLenovo IDのサインイン連携によりパスワードなしで直接アクセスが可能となり、約5,000人のユーザーのアカウントがハッカーにアクセスされたと通知した。

リスクにさらされたのは、クラウドストレージアプリにファイルを保存していたものの、多要素認証を有効にしていなかったDropbox利用者であり、サービスの基盤そのものが直接侵害されていなくてもアカウント保護が重要であることを示している。

パスワードなしでDropboxにログイン可能に

攻撃者にアクセスを与えた抜け穴は、いずれかの製品自体ではなく、Lenovo IDとDropboxの連携にあった。TheNextWebによると、Lenovoの設定ではそのメールアドレスが登録者本人のものかどうかを確認していなかったため、誰でも自分のものではないメールアドレスでLenovo IDを登録できたという。一方Dropboxは、Lenovoトークンを本人確認の証拠として扱い、該当するアカウントへのアクセスを許可した。

9to5Macが引用したセキュリティライター The CyberSec Guru は、事件の流れを説明している。攻撃者は公開されているメールアドレスを収集したうえで、被害者のアドレスでLenovo IDを登録した。その後、Dropbox上の「Continue with Lenovo」オプションを使用し、パスワード入力を求められないライブセッションへのアクセスを取得し、そこからDropboxアカウントへ直接アクセスした。

すでにアクセスされた不正アカウントを取り戻したあるユーザーは、その表示名が「John Madden」になっているのを確認した。9to5Macは、これが大量登録の兆候だと伝えている。

攻撃で何が取得されたのか

攻撃期間中に開かれた約5,000件のアカウントのうち、ファイルが閲覧またはダウンロードされたのは3分の1未満だった。9to5Macの更新によると、約1,500件のアカウントでは実際に資料が持ち出され、約3,500件ではファイルが触られた痕跡は確認されなかったことになる。侵入者が特定の文書を狙っていたのか、それとも自動的にアカウントを巡回していたのかは依然として不明だ。

スポークスパーソンのTim Rathschmidt氏は、侵害されたアカウントには多要素認証を使用していたものはなかったと述べた。Rathschmidt氏はまた、この件がDropboxの事業に打撃を与えるとは見ていないと付け加えた。

DropboxがLenovo ID連携を停止

問題を把握したDropboxは、Lenovo IDで認証されたすべてのセッションを終了し、連携を無効化したうえで、現在はどのアカウントにアクセスする場合でもDropbox本体のパスワードを要求している。

Lenovoは今回の侵害を、「一部のDropboxアカウントを不適切に認証するために使用され得た」とする「レガシー連携」に起因すると説明した。同社は、自社のユーザーは完全に影響を受けていないとし、調査は継続中だと確認している。

この侵害は後日の調査で明らかになったもので、両社の監視システムでは検知されなかった。

多要素認証があればこの攻撃は防げたはずだった。なぜなら、この抜け穴はLenovo ID連携を使ってパスワードなしでアクセスできることを悪用したものであり、追加の確認手順が存在しなかったためだ。