اختراق Dropbox في أغسطس 2026: ماذا حدث ومن تضرر؟

كشفت Dropbox عن وصول غير مصرح به إلى نحو 5 آلاف حساب مستخدم خلال الفترة من 4 إلى 21 أغسطس 2026. وترتبط الحادثة بمسار مصادقة قديم بين Dropbox وLenovo ID، وليست اختراقًا مُعلنًا لأنظمة Lenovo الخاصة بالعملاء. 16

ما الذي وصل إليه المهاجمون؟

قالت Dropbox إن المهاجمين شاهدوا ملفات أو نزّلوها من أقل من ثلث الحسابات المتضررة. وبذلك، لم يُبلّغ عن الوصول إلى ملفات كل الحسابات البالغ عددها نحو 5 آلاف؛ ويعادل هذا أقل من نحو 1,700 حساب، بينما وصفت تقارير الرقم بأنه يقارب 1,500 حساب. 568

ولا تحدد الإفصاحات المتاحة نوع الملفات التي جرى الوصول إليها، أو تنزيلها، داخل تلك الحسابات.

كيف استُغل تسجيل الدخول عبر Lenovo ID؟

الحسابات المتضررة اشتركت في شرطين: كانت مرتبطة بـ Lenovo ID، ولم تكن ميزة التحقق بخطوتين في Dropbox مفعّلة فيها. 14

وبحسب إشعارات Dropbox التي نقلها موقع BleepingComputer، سمحت مشكلة في عملية التحقق من البريد الإلكتروني لدى Lenovo لطرف غير مصرح له بإنشاء Lenovo ID باستخدام عنوان بريد شخص آخر. وبعد ذلك، تمكن المهاجم من استخدام هذا المعرّف المزيف للوصول إلى حساب Dropbox المرتبط بعنوان البريد نفسه من دون إدخال كلمة مرور Dropbox الخاصة بالضحية. 2

بعبارة أبسط، كانت الثغرة في علاقة الثقة بين نظامي الهوية. فقد أتاح مسار Lenovo ID القديم توثيق الدخول إلى حساب Dropbox مرتبط به، عندما لم تكن حماية الحساب تتضمن عامل تحقق ثانٍ. 26

ماذا فعل Dropbox بعد اكتشاف الحادثة؟

اتخذت الشركة عدة إجراءات لإغلاق المسار الذي استُغل:

• أنهت الجلسات التي جرى توثيقها عبر Lenovo ID. 46
• أزالت أو عطلت الربط بين Lenovo ID وحسابات Dropbox. 46
• أخطرت المستخدمين المتضررين. 15
• عدّلت مسار تسجيل الدخول والربط بحيث يتعين على المستخدم إدخال كلمة مرور Dropbox قبل استخدام مسار Lenovo ID. 6

هل تعرضت Lenovo نفسها للاختراق؟

قالت Lenovo إنها حددت التكامل القديم المعني وعالجت المشكلة، وأضافت أن عملاءها وأنظمتها لم يتأثروا. ووفقًا للتقارير، انحصر الأثر في حسابات Dropbox التي استخدمت مسار تسجيل الدخول عبر Lenovo ID. 68

وهذا التفريق مهم: ما أُبلغ عنه هو اختراق حسابات Dropbox عبر التكامل بين الخدمتين، وليس اختراقًا معلنًا لحسابات عملاء Lenovo أو أنظمتها.

الإخطار التنظيمي ورد فعل السوق

أبلغت Dropbox وكالة رويترز بأنها أخطرت جهات تنظيم حماية البيانات، لكن التقارير المتاحة لا تسمي تلك الجهات أو الولايات القضائية المعنية. 15

وعقب الكشف عن الواقعة، تراجع سهم Dropbox بنسبة 1.8% في تداولات ما بعد الإغلاق، بحسب تقرير سوقي نُشر في ذلك الوقت. 12

الخلاصة للمستخدمين

توضح الحادثة أن خيارات تسجيل الدخول المرتبطة بطرف ثالث يجب أن تحظى بمستوى الحماية نفسه المطبق على كلمة المرور والتحقق بخطوتين. في هذه الحالة، اجتمعت مشكلة التحقق من البريد الإلكتروني مع عدم تفعيل التحقق بخطوتين في Dropbox لفتح مسار دخول قديم. 26

بالنسبة إلى المستخدمين، يبقى إشعار Dropbox المباشر هو المرجع الأوضح لمعرفة ما إذا كان الحساب قد تأثر وما الخطوات المطلوبة لتأمينه.