Jak chyba v Lenovo ID otevřela útočníkům cestu k účtům Dropboxu

Dropbox oznámil, že útočníci získali neoprávněný přístup k přibližně 5 000 účtům prostřednictvím chyby v propojení se službou Lenovo ID, která sloužila jako přihlášení přes třetí stranu neboli single sign-on (SSO). K neoprávněným přístupům docházelo od 4. do 21. srpna 2026. Soubory byly podle reportů citujících Dropbox prohlíženy nebo staženy u méně než třetiny napadených účtů. 146

Případ je významný hlavně tím, že útočníci zřejmě nepotřebovali hesla k Dropboxu ani přístup do e-mailových schránek obětí. Zneužili způsob, jakým oba systémy pracovaly s e-mailovou adresou jako s důkazem vlastnictví účtu.

Jak převzetí účtu fungovalo

Útok měl podle dostupných informací tři hlavní kroky:

1. Útočník si zaregistroval Lenovo ID s e-mailovou adresou jiné osoby.
2. Chyba v procesu ověřování e-mailu u Lenova umožnila, aby tato identita působila jako platná, přestože útočník neměl přístup k dané schránce.
3. Starší integrace SSO v Dropboxu porovnala e-mailovou adresu v identitním tvrzení Lenovo s existujícím účtem Dropboxu a poskytla přístup, aniž by vyžadovala původní heslo k Dropboxu. 3511

Útočníci tak nemuseli prolomit systém hesel Dropboxu ani obejít zabezpečení e-mailu. Využili vztah důvěry mezi poskytovatelem identity, tedy Lenovo ID, a Dropboxem, který této identitě důvěřoval.

Proč pomohlo vícefaktorové ověřování

Napadené účty byly propojené s Lenovo ID, ale neměly zapnuté vícefaktorové ověřování v Dropboxu. 11012

Při federovaném přihlašování může úspěšné přihlášení u externího poskytovatele vytvořit relaci i v navazující službě. Vícefaktorové ověřování Dropboxu by po přijetí tvrzení od Lenovo ID přidalo další kontrolu řízenou přímo Dropboxem. Samotné podvržené Lenovo ID by proto k dokončení přihlášení nestačilo.

Incident tedy neukazuje, že by útočníci obešli MFA. Naopak zasáhl především účty, které tuto ochranu neměly aktivní. 1015

Jaká data mohla být zpřístupněna

Dropbox uvedl, že útočníci si u zasažených účtů prohlíželi a stahovali obsah uložený na platformě. Veřejně dostupné zprávy uvádějí, že soubory byly zpřístupněny u méně než třetiny z přibližně 5 000 napadených účtů. 145

Dostupné informace neurčují jednotný typ souborů, celkový objem stažených dat ani společnou míru citlivosti pro všechny oběti. Někteří uživatelé dostali od Dropboxu zprávu, že záznamy potvrzují neoprávněný přístup, ale neobsahují důkaz o prohlížení či stažení jejich souborů. 2

Co zaznamenali uživatelé a bezpečnostní výzkumník

Někteří postižení uživatelé objevili neznámá Lenovo ID propojená s jejich vlastními e-mailovými adresami. Bezpečnostní výzkumník Yoni Levy zveřejnil kopii oznámení od Dropboxu, které popisovalo neoprávněný přístup v období od 4. do 21. srpna a jako problém označovalo přihlášení přes Lenovo SSO. 23

Zprávy rovněž popisovaly přihlašovací aktivitu spojenou s Dublinem. To odpovídá scénáři, v němž byla jako vstupní bod použita podvodně vytvořená identita u poskytovatele přihlášení. Samo o sobě to však neprokazuje, kde se každý z útočníků nacházel ani to, že všechny napadené účty byly zneužity naprosto stejným způsobem.

Kdy Dropbox informoval uživatele a úřady

Dropbox začal dotčené uživatele informovat přibližně 31. srpna a 1. září, poté co zjistil neoprávněné přístupy. Společnost uvedla také, že o incidentu informovala úřady pro ochranu osobních údajů. 346

Podle zveřejněných informací Dropbox ukončil zasažené relace, odstranil nebo odpojil vazby na účty Lenovo, doporučil změnu hesel a zapnutí dvoufázového ověřování a upravil či omezil dotčený způsob přihlášení. 101230

Kdo za problém odpovídal

Nešlo o jednoduché napadení pouze jedné společnosti. Incident byl selháním propojeného systému.

• Selhání na straně Lenova: Starší identitní tok podle dostupných informací umožňoval vytvořit Lenovo ID s e-mailovou adresou, kterou žadatel nekontroloval. Problém spočíval v nedostatečném ověření vlastnictví e-mailu. 3512
• Selhání na straně Dropboxu: Dropbox považoval externí tvrzení Lenova za dostatečné k propojení s existujícím účtem, aniž by vyžadoval ověření pomocí stávajících přihlašovacích údajů, nové autentizace nebo důkladnějšího procesu propojení účtu. 3911
• Reakce obou společností: Lenovo označilo problém za záležitost starší integrace a uvedlo, že příslušnou chybu v ověřování vyřešilo. Dropbox sdělil, že problém odhalil a napravil, ukončil relace, změnil dotčenou integraci a informoval uživatele i regulátory. 101214

Rozdělení odpovědnosti je důležité. Chyba v ověřování u Lenova vytvořila falešné tvrzení o identitě, ale právě logika Dropboxu rozhodla, zda toto tvrzení odemkne již existující cloudový účet.

Jak reagovaly akcie Dropboxu

Po zveřejnění incidentu akcie Dropboxu v obchodování po uzavření burzy oslabily. Přesná velikost pohybu však z dostupných reportů není jednoznačná.

Reuters, na který odkazovalo několik médií, uváděl pokles přibližně 2,4 %, zatímco Investing.com informoval o poklesu o 1,8 %. 69 Jiná zpráva hovořila o propadu o více než 6 %. 8 Konkrétní údaj 6,6 % se z dostupných podkladů nedá ověřit a může odkazovat na jiný časový bod nebo jinou část obchodní seance.

Co incident ukazuje o federovaném přihlašování

E-mailová adresa je identifikátor. Automaticky ale neprokazuje, že člověk, který ji předkládá, ovládá příslušnou schránku nebo skutečně vlastní účet s touto adresou.

Federované přihlašování zjednodušuje používání služeb tím, že jeden systém ověří uživatele pro jinou službu. Pohodlí však přináší riziko, když navazující služba:

• přijme tvrzení poskytovatele identity o e-mailu bez vlastního ověření;
• automaticky propojí novou identitu třetí strany se starým účtem;
• obejde původní heslo, výzvu MFA nebo ověřený kanál pro obnovu účtu; nebo
• považuje změnu propojení účtu za běžné přihlášení namísto vysoce rizikové bezpečnostní události.

Bezpečnější návrh by vyžadoval výslovné potvrzení od stávajícího vlastníka účtu ještě před připojením nového poskytovatele identity. Může jít například o opětovné přihlášení, ověřený kanál pro obnovu účtu nebo odolné vícefaktorové ověření, které lépe chrání před phishingem.

Případ Dropboxu ukazuje, že vztah důvěry mezi poskytovatelem identity a navazující službou si zaslouží stejnou pozornost jako samotná hesla. Slabina v jednom systému se totiž může stát vstupní branou do druhého.