كيف منح خلل في Lenovo ID القراصنة وصولًا إلى نحو 5 آلاف حساب على Dropbox؟

أعلنت Dropbox أن قراصنة تمكنوا من الوصول إلى نحو 5 آلاف حساب عبر خلل يتعلق بخدمة Lenovo ID، وهي خدمة طرف ثالث لتسجيل الدخول الموحد (SSO). ووقع الوصول غير المصرح به بين 4 و21 أغسطس 2026، بينما جرى الاطلاع على الملفات أو تنزيلها في أقل من ثلث الحسابات المتضررة، وفق تقارير استندت إلى معلومات من Dropbox. 146

تكمن خطورة الواقعة في أن المهاجمين لم يكونوا بحاجة، على ما يبدو، إلى كلمات مرور Dropbox أو إلى الدخول إلى صناديق البريد الإلكتروني للضحايا. فقد استغلوا الطريقة التي تعامل بها نظاما الهوية لدى Lenovo وDropbox مع عنوان البريد الإلكتروني بوصفه دليلًا على ملكية الحساب.

كيف تم الاستيلاء على الحسابات؟

يبدو أن سلسلة الهجوم جرت على ثلاث مراحل:

1. أنشأ المهاجم حساب Lenovo ID باستخدام عنوان البريد الإلكتروني لشخص آخر.
2. سمح خلل في عملية التحقق من البريد الإلكتروني لدى Lenovo بظهور هذه الهوية على أنها صالحة، رغم أن المهاجم لم يكن يسيطر على صندوق البريد.
3. طابق تكامل تسجيل الدخول الموحد القديم لدى Dropbox عنوان البريد الإلكتروني الوارد في بيانات هوية Lenovo مع حساب Dropbox قائم، ثم منح المهاجم جلسة دخول من دون طلب كلمة مرور Dropbox الأصلية. 3511

وبذلك لم يحتج المهاجمون إلى كسر نظام كلمات المرور في Dropbox أو تجاوز حماية البريد الإلكتروني؛ بل استغلوا علاقة الثقة بين مزود الهوية، أي Lenovo ID، وDropbox، وهي الخدمة التي تعتمد على ادعاء ذلك المزود بشأن هوية المستخدم.

لماذا كان غياب المصادقة متعددة العوامل حاسمًا؟

كانت الحسابات المتضررة مرتبطة بخدمات Lenovo ID، لكنها لم تكن مزودة بالمصادقة متعددة العوامل في Dropbox. 11012

في أنظمة تسجيل الدخول الموحّد، يمكن لنجاح تسجيل الدخول لدى خدمة خارجية أن ينشئ جلسة دخول لدى الخدمة الأخرى. أما تفعيل المصادقة متعددة العوامل في Dropbox فكان سيضيف خطوة تحقق ثانية تتحكم بها Dropbox، ما يجعل هوية Lenovo المزيفة وحدها غير كافية لإتمام الدخول.

لذلك تضررت الحسابات التي لم تفعّل التحقق بخطوتين بدرجة أكبر؛ ولا تشير الواقعة إلى أن المهاجمين تجاوزوا المصادقة متعددة العوامل نفسها. 1015

ما البيانات التي وصل إليها المهاجمون؟

قالت Dropbox إن المهاجمين اطلعوا على محتوى مخزن في الحسابات المتضررة ونزلوه. وتشير التقارير المنشورة إلى أن الملفات جرى الوصول إليها في أقل من ثلث نحو 5 آلاف حساب مخترق. 145

لكن المعلومات المتاحة لا تحدد نوعًا موحدًا للملفات أو إجمالي حجم التنزيلات أو مستوى حساسيتها لدى جميع الضحايا. كما أُبلغ بعض المستخدمين بأن سجلات Dropbox أظهرت دخولًا غير مصرح به، من دون وجود دليل على مشاهدة ملفاتهم أو تنزيلها. 2

ماذا لاحظ المستخدمون والباحثون الأمنيون؟

أبلغ بعض المستخدمين المتضررين عن ظهور حسابات Lenovo ID غير مألوفة مرتبطة بعناوين بريدهم الإلكتروني. كما نشر الباحث الأمني يوني ليفي نسخة من إشعار أرسلته Dropbox، يصف الوصول غير المصرح به خلال الفترة بين 4 و21 أغسطس ويشير إلى مشكلة تسجيل الدخول الموحد عبر Lenovo. 23

وتحدثت تقارير أيضًا عن نشاط دخول مرتبط بمدينة دبلن. وتتوافق هذه الملاحظات مع احتمال استخدام حسابات مزيفة لدى مزود الهوية كنقطة دخول، لكنها لا تثبت وحدها مكان وجود كل مهاجم، ولا أن جميع الحسابات المتضررة تعرضت للتسلسل نفسه.

متى أُبلغ المستخدمون والجهات التنظيمية؟

بدأت Dropbox إخطار المستخدمين المتضررين في حدود 31 أغسطس و1 سبتمبر، بعد اكتشاف الوصول غير المصرح به. وقالت الشركة إنها أبلغت كذلك الجهات التنظيمية المعنية بحماية البيانات. 346

وشملت استجابة Dropbox، بحسب التقارير، إنهاء الجلسات المتأثرة، وإزالة روابط حسابات Lenovo أو فصلها، ونصح المستخدمين بتغيير كلمات المرور وتفعيل التحقق بخطوتين، إلى جانب تقييد مسار تسجيل الدخول المتأثر أو إضافة إجراءات حماية إليه. 101230

كيف توزعت المسؤولية بين Dropbox وLenovo؟

لا تبدو الواقعة اختراقًا تقليديًا لشركة واحدة، بل فشلًا في نظام مشترك بين الطرفين:

• الخلل الظاهر لدى Lenovo: سمح مسار الهوية القديم بإنشاء Lenovo ID باستخدام عنوان بريد إلكتروني لا يسيطر عليه منشئ الحساب. وبعبارة أخرى، لم تكن هناك إثباتات كافية لملكية البريد الإلكتروني. 3512
• الخلل الظاهر لدى Dropbox: تعاملت الشركة مع بيانات الهوية القادمة من Lenovo على أنها كافية لربطها بحساب Dropbox قائم، من دون طلب إثبات عبر بيانات اعتماد Dropbox الحالية أو إعادة تسجيل الدخول أو آلية أقوى لربط الحسابات. 3911
• استجابة الشركتين: وصفت Lenovo المشكلة بأنها مرتبطة بتكامل قديم، وقالت إنها عالجت مشكلة التحقق ذات الصلة. أما Dropbox فقالت إنها اكتشفت الخلل وأصلحته، وأنهت الجلسات، وغيّرت التكامل المتأثر، وأخطرت المستخدمين والجهات التنظيمية. 101214

وهنا تكمن نقطة مهمة: فقد أنشأ ضعف التحقق لدى Lenovo ادعاء هوية زائفًا، لكن منطق ربط الحسابات لدى Dropbox هو الذي سمح لهذا الادعاء بفتح حساب سحابي قائم.

ماذا حدث لسهم Dropbox؟

تلا الكشف عن الاختراق تراجع في سهم Dropbox خلال التداولات خارج ساعات السوق، لكن حجم التراجع الدقيق ليس محسومًا في التقارير المتاحة.

فقد أشار تقرير لرويترز نقلته عدة جهات إلى انخفاض بنحو 2.4% في التداولات الممتدة، بينما تحدثت Investing.com عن تراجع بنسبة 1.8% بعد الإغلاق. 69 وذكرت تغطية أخرى أن السهم انخفض بأكثر من 6%. 8 ولا تؤكد الأدلة المتاحة تحديدًا نسبة 6.6%، التي قد تكون ناتجة عن نقطة مرجعية أو جلسة تداول مختلفة.

الدرس الأوسع لأنظمة الهوية الموحّدة

عنوان البريد الإلكتروني معرّف، لكنه ليس تلقائيًا دليلًا على أن الشخص الذي يقدمه يسيطر على صندوق البريد أو يملك الحساب المرتبط به.

يقلل تسجيل الدخول الموحّد الاحتكاك أمام المستخدم، لأنه يتيح له المصادقة عبر خدمة أخرى. لكن هذه السهولة تتحول إلى خطر عندما تقوم الخدمة المعتمدة على الهوية بما يلي:

• قبول ادعاء مزود الهوية بشأن البريد الإلكتروني من دون تحقق مستقل؛
• ربط هوية خارجية جديدة تلقائيًا بحساب قديم؛
• تجاوز كلمة المرور الحالية أو تحدي المصادقة متعددة العوامل أو قناة الاسترداد الموثقة؛
• التعامل مع تغيير ربط الحساب باعتباره تسجيل دخول عاديًا، لا حدثًا أمنيًا عالي الخطورة.

وكان التصميم الأقوى سيتطلب إثباتًا واضحًا من مالك الحساب القائم قبل إضافة مزود هوية جديد، مثل إعادة المصادقة أو استخدام قناة استرداد موثقة أو مصادقة مقاومة للتصيد.

وتوضح حادثة Dropbox أن علاقات الثقة بين مزودي الهوية والخدمات لا تقل أهمية عن كلمات المرور؛ فثغرة صغيرة في نظام واحد قد تتحول إلى بوابة للوصول إلى حسابات محفوظة في نظام آخر.