Sådan gav en fejl i Lenovo ID hackere adgang til omkring 5.000 Dropbox-konti

Dropbox oplyste, at hackere fik adgang til omkring 5.000 konti via en fejl i virksomhedens integration til Lenovo ID, en tredjepartstjeneste til single sign-on (SSO). Den uautoriserede adgang fandt sted fra 4. til 21. august 2026. I færre end en tredjedel af de berørte konti blev filer ifølge Dropbox set eller downloadet. 146

Det afgørende var, at angriberne tilsyneladende ikke behøvede ofrenes Dropbox-adgangskoder – eller adgang til deres e-mailindbakker. I stedet udnyttede de den måde, Lenovo ID og Dropbox behandlede en e-mailadresse som bevis på, hvem der ejede en konto.

Sådan fungerede konto-overtagelsen

Angrebet ser ud til at have fulgt tre trin:

1. Angriberen oprettede et Lenovo ID med en anden persons e-mailadresse.
2. En fejl i Lenovos e-mailbekræftelse fik identiteten til at fremstå som gyldig, selv om angriberen ikke havde kontrol over indbakken.
3. Dropbox' ældre SSO-integration matchede e-mailadressen i Lenovo-identiteten med en eksisterende Dropbox-konto og gav adgang uden at kræve kontoens eksisterende Dropbox-adgangskode. 3511

Angriberne behøvede altså ikke at bryde Dropbox' adgangskodesystem eller omgå e-mailens sikkerhed. De udnyttede tillidsforholdet mellem identitetsudbyderen Lenovo ID og Dropbox, som accepterede identitetsoplysningen.

Hvorfor tofaktorgodkendelse gjorde en forskel

De berørte konti var koblet til Lenovo ID, men havde ikke aktiveret multifaktorgodkendelse hos Dropbox. 11012

I et federeret loginforløb kan et vellykket login hos en tredjepart oprette en session hos den tjeneste, der accepterer loginet. Dropbox' multifaktorgodkendelse ville have tilføjet et ekstra kontroltrin, som Dropbox selv havde styr på. En falsk Lenovo-identitet ville derfor ikke have været nok til at gennemføre loginet.

Hændelsen viser dermed ikke, at multifaktorgodkendelse blev omgået. Den ramte især konti uden totrinsbekræftelse, fordi disse konti manglede det ekstra sikkerhedstjek. 1015

Hvilke data blev tilgået?

Dropbox sagde, at angriberne så og downloadede indhold fra berørte konti. Offentlig omtale peger på, at filer blev tilgået i færre end en tredjedel af de omkring 5.000 kompromitterede konti. 145

De tilgængelige oplysninger fastslår ikke én bestemt filtype, den samlede mængde downloadede data eller et ensartet følsomhedsniveau blandt de berørte brugere. Nogle brugere fik besked om, at Dropbox' logfiler viste uautoriseret adgang, men ikke viste tegn på, at deres filer var blevet set eller downloadet. 2

Hvad opdagede brugere og sikkerhedsforskere?

Nogle berørte brugere rapporterede, at ukendte Lenovo ID'er var knyttet til deres e-mailadresser. Sikkerhedsforskeren Yoni Levy delte en kopi af en Dropbox-meddelelse, der beskrev den uautoriserede adgang i perioden 4.–21. august og pegede på problemet med Lenovo SSO. 23

Rapporter beskrev også loginaktivitet forbundet med Dublin. Det stemmer med, at falske konti hos identitetsudbyderen kan have været brugt som indgang til Dropbox. Oplysningerne beviser dog ikke, hvor alle angriberne befandt sig, eller at samtlige berørte konti blev kompromitteret på præcis samme måde.

Hvornår orienterede Dropbox brugere og myndigheder?

Dropbox begyndte at underrette berørte brugere omkring 31. august og 1. september, efter at virksomheden havde identificeret den uautoriserede adgang. Dropbox oplyste også, at databeskyttelsesmyndigheder var blevet informeret. 346

Virksomhedens reaktion omfattede ifølge de offentliggjorte oplysninger at afslutte berørte sessioner, fjerne eller afkoble Lenovo-kontoforbindelser, anbefale brugerne at skifte adgangskoder og aktivere totrinsbekræftelse samt begrænse eller sikre den berørte loginvej yderligere. 101230

Et fælles systemsvigt – ikke kun et Lenovo-problem

Hændelsen var ikke et traditionelt brud på ét enkelt selskabs system. Den opstod i samspillet mellem Lenovo ID og Dropbox.

• Lenovos tilsyneladende fejl: Lenovos ældre identitetsflow gjorde det ifølge rapporterne muligt at oprette et Lenovo ID med en e-mailadresse, som angriberen ikke kontrollerede. Problemet var dermed mangelfuld dokumentation for ejerskab af e-mailadressen. 3512
• Dropbox' tilsyneladende fejl: Dropbox accepterede Lenovo-identiteten som tilstrækkelig til at koble sig på en eksisterende konto uden at kræve bekræftelse via en eksisterende Dropbox-adgangskode, gen-login eller en stærkere proces for sammenkobling af konti. 3911
• Begge virksomheders svar: Lenovo beskrev problemet som knyttet til en ældre integration og sagde, at den relevante fejl i bekræftelsen var blevet håndteret. Dropbox sagde, at problemet var blevet opdaget og udbedret, at sessioner var blevet afsluttet, at integrationen var ændret, og at brugere og myndigheder var blevet underrettet. 101214

Forskellen er vigtig: Lenovos svage e-mailbekræftelse skabte den falske identitet, men Dropbox' logik for kontokobling afgjorde, om identiteten kunne åbne en eksisterende cloudkonto.

Hvad skete der med Dropbox-aktien?

Efter offentliggørelsen af bruddet faldt Dropbox-aktien i eftermarkedet, men rapporterne er ikke enige om faldets størrelse.

En Reuters-rapport, som flere medier henviste til, beskrev et fald på omkring 2,4 procent i den udvidede handel, mens Investing.com rapporterede et fald på 1,8 procent. 69 En anden artikel skrev, at aktien faldt med mere end 6 procent. 8 Det tilgængelige materiale bekræfter ikke specifikt tallet 6,6 procent, som kan være baseret på et andet sammenligningspunkt eller en anden handelssession.

Den bredere lektie om federeret identitet

En e-mailadresse er en identifikator. Den er ikke automatisk et bevis på, at den person, der angiver adressen, kontrollerer indbakken eller ejer den tilknyttede konto.

Federeret login gør det nemmere at bruge digitale tjenester ved at lade én tjeneste bekræfte identiteten på vegne af en anden. Men bekvemmeligheden skaber risiko, når en tjeneste:

• accepterer identitetsudbyderens e-mailoplysning uden selvstændig kontrol;
• automatisk kobler en ny tredjepartsidentitet til en gammel konto;
• springer en eksisterende adgangskode, MFA-udfordring eller bekræftet gendannelseskanal over; eller
• behandler en ændring i kontokoblingen som et almindeligt login i stedet for en højrisiko-sikkerhedshændelse.

Et stærkere design ville kræve et udtrykkeligt bevis fra den eksisterende kontohaver, før en ny identitetsudbyder blev tilknyttet. Det kunne være gen-login, en bekræftet gendannelseskanal eller phishing-resistent godkendelse.

Dropbox-sagen viser, hvorfor tilliden mellem identitetsudbydere og tjenester skal granskes lige så nøje som adgangskoder. En svaghed i ét system kan blive en direkte adgangsvej ind i et andet.