Lenovos bugg exponerade omkring 5 000 Dropbox-konton

En sårbarhet i Lenovos e-postverifiering exponerade omkring 5 000 Dropbox-konton, enligt Dropbox meddelande till de berörda användarna.

Dropbox använder Lenovo som identitetsleverantör, så att användare kan logga in med verifierade Lenovo-ID:n. Sårbarheten gjorde det möjligt för en obehörig person att skapa ett Lenovo-ID med någon annans e-postadress och använda det för att komma åt Dropbox-kontot som var kopplat till adressen.

Angreppet ägde rum mellan den 4 och 21 augusti. De flesta konton som öppnades hade inte 2FA aktiverat. Dropbox sade att det fanns bevis för att lagrade dokument hade visats eller laddats ned på omkring en tredjedel av de berörda kontona.

Dropbox uppger att sårbarheten har åtgärdats, att alla sessioner som loggats in via Lenovo-ID:n har löpt ut och att kopplingarna mellan Lenovo- och Dropbox-konton har avslutats. Det krävs nu ett Dropbox-lösenord vid inloggning via ett Lenovo-ID.

Dropbox uppmanade också berörda användare att byta lösenord, aktivera tvåstegsverifiering och byta lösenordet till sina e-postkonton.

Muhammad Yahya Patel, vCISO och cybersäkerhetsrådgivare för EMEA på Huntress, sade att incidenten visade riskerna med ogranskade autentiseringsvägar från tredje part och konton utan MFA. Han sade att organisationer och privatpersoner regelbundet bör granska vilka tredjepartstjänster som kan autentisera till deras konton.