Dropboxは、クラウドストレージ事業者がLenovo ID経由のシングルサインオン（SSO）を処理する仕組みの不具合を攻撃者が悪用した結果、2026年8月4日から8月21日にかけて不正なアカウントアクセスが発生したと利用者に通知した。

同社によると、Lenovoのメール検証プロセスの問題により、第三者が他人のメールアドレスを使ってLenovo IDを登録し、そのIDで同じメールアドレスに関連付けられたDropboxアカウントにログインすることが可能になっていた。影響を受けた利用者への書簡でDropboxは、アカウントが不正にアクセスされたものの、ログにはファイルの閲覧やダウンロードを示す証拠は確認されなかったと述べている。

「当社は最近、Dropboxの二要素認証が有効になっていない、Lenovo ID経由で接続されたDropboxアカウントに対する不正アクセスを特定しました」とDropboxの広報担当者はDecryptに語った。「調査の結果、Lenovoのメール検証プロセスの問題により、第三者が他人のメールアドレスでLenovo IDを登録し、そのLenovo IDを使ってそのメールアドレスに関連付けられたDropboxアカウントにログインできたことが判明しました」

「約5,000件のDropboxアカウントが影響を受け、そのうち3分の1未満のアカウントでファイルが閲覧またはダウンロードされました」と広報担当者は付け加えた。「影響を受けたすべての利用者には直接メールでお知らせしました。アカウントのアクティビティについてご質問があるお客様は、サポートチームまでお問い合わせください。当社からメールを受信していない場合、そのアカウントは影響を受けていません」

Dropboxによると、この攻撃には被害者のDropboxパスワードやメールボックスへのアクセスは必要なかったとみられる。影響を受けたアカウントはLenovo IDにリンクされており、Dropboxの二要素認証が有効になっていなかったため、攻撃者は一致するメールアドレスで新規登録したLenovo IDを使い、追加の検証なしに既存のアカウントへアクセスできた。Dropboxはその後、Lenovo IDによるアカウントアクセスの方式を変更した。

本件は、連合サインオン（あるプロバイダーのID情報でもう一つのサービスのアカウントにアクセスできる仕組み）に潜むより広範なリスクを浮き彫りにしている。上流のアイデンティティプロバイダーがメールアドレスの所有権を適切に検証しなければ、そのIDを信頼するすべての下流サービスが、自らが侵害されていなくても暴露されうる。また、Dropbox自身の二要素認証がこの事件では実効的な最後の防衛線となったこと——有効化していたアカウントは影響を受けなかったこと——も強調される。

影響を受けた利用者の一人である開発者のYoni Levy氏は、この書簡のスクリーンショットをXに投稿した：

so dropbox got hacked (never had a Lenovo account, haven't been to UK) pic.twitter.com/UoYRaJFuEC

— yoni | parser.eth (@yonilevy) August 31, 2026

あるスクリーンショットには、8月18日午前6時6分（現地時間）に「Near Canary Wharf, England, United Kingdom（イギリス・イングランド カナリー・ワーフ付近）」から新しいWebブラウザでLevy氏のアカウントへのサインインがあったとDropboxが警告する様子が示されていた。ログインにはWindows上のChromeが使われていた。Levy氏は、Lenovoアカウントを持ったことも、イギリスを訪れたこともないと述べている。

その後のDropboxからの通知でLevy氏は、調査の結果、第三者が彼のメールアドレスでLenovo IDを登録し、そのIDで彼のDropboxアカウントにログインしたことが判明したと知らされた。

この警告は、大手オンラインプラットフォームを巻き込む他のアカウントセキュリティ騒動に続いて発生した。火曜日には、Xの利用者から未依頼のパスワードリセットメール、見覚えのないログイン通知、アカウントロックアウトの急増が報告されたが、Xは新しい侵害の証拠は確認されなかったとしている。Xのエンジニアは、攻撃者はX Moneyへのアクセスを得るためにアカウントの乗っ取りを試みているようだと述べた。