Breach Dropbox d’août 2026 : ce qui s’est passé et les comptes concernés

Dropbox a indiqué qu’un tiers non autorisé avait accédé à environ 5 000 comptes entre le 4 et le 21 août 2026. L’incident est lié à une ancienne voie d’authentification reposant sur Lenovo ID pour certains comptes Dropbox ; il ne s’agit pas, selon les informations disponibles, d’une intrusion déclarée dans les systèmes clients de Lenovo. 16

Quels contenus ont été consultés ?

Dropbox a précisé que des fichiers avaient été consultés ou téléchargés dans moins d’un tiers des quelque 5 000 comptes concernés. Cela représente moins d’environ 1 700 comptes ; plusieurs médias évoquent un ordre de grandeur d’environ 1 500 comptes. 568

Les informations publiées ne permettent pas d’affirmer que des fichiers ont été accédés dans chaque compte compromis, ni d’identifier la nature des fichiers concernés.

Comment la connexion Lenovo ID a été détournée

Les comptes touchés avaient deux caractéristiques : ils étaient associés à un Lenovo ID et la double authentification (2FA) de Dropbox n’y était pas activée. 14

D’après les notifications de Dropbox rapportées par BleepingComputer, un problème dans le processus de vérification des adresses e-mail de Lenovo a permis à un acteur non autorisé de créer un Lenovo ID avec l’adresse e-mail d’une autre personne. Ce Lenovo ID frauduleux pouvait ensuite servir à ouvrir le compte Dropbox associé à cette même adresse, sans saisir le mot de passe Dropbox de la victime. 2

La faiblesse concernait donc la relation de confiance entre les deux systèmes d’identité. L’ancienne intégration Lenovo ID permettait d’authentifier un compte Dropbox lié alors que les protections habituelles du compte n’incluaient pas de second facteur. 26

Les mesures prises par Dropbox

Après avoir détecté l’activité, Dropbox a notamment :

• mis fin aux sessions authentifiées via Lenovo ID ; 46
• supprimé ou désactivé le lien entre les Lenovo ID et les comptes Dropbox ; 46
• averti les utilisateurs affectés ; 15
• modifié le parcours de connexion et d’association : un mot de passe Dropbox doit désormais être saisi avant d’utiliser cette voie Lenovo ID. 6

Ces mesures visent à fermer le chemin d’authentification exploité lors de l’incident.

Lenovo a-t-il lui aussi subi une intrusion ?

Lenovo a déclaré avoir identifié l’ancienne intégration concernée et corrigé le problème. L’entreprise a affirmé que ses propres clients et systèmes n’avaient pas été affectés : l’incident concernait les comptes Dropbox utilisant cette méthode de connexion Lenovo ID. 68

La nuance est importante : les éléments rapportés décrivent la compromission de comptes Dropbox authentifiés par cette intégration, et non une intrusion déclarée dans les comptes ou systèmes clients de Lenovo.

Notification des autorités et réaction boursière

Dropbox a indiqué à Reuters avoir prévenu des autorités de protection des données, sans que les publications disponibles ne précisent les pays ni les régulateurs concernés. 15

Après la révélation de l’incident, l’action Dropbox a reculé dans les échanges hors séance, selon la couverture financière de l’époque. 12

Ce qu’il faut retenir

Cette affaire illustre le risque posé par une connexion d’identité tierce lorsqu’elle ne garantit pas un niveau de protection équivalent à celui d’un accès direct par mot de passe et double authentification. Ici, un défaut de vérification d’e-mail et l’absence de 2FA Dropbox ont ouvert une voie d’accès héritée. 26

Pour savoir si votre compte est concerné, la notification reçue de Dropbox reste l’information la plus fiable. Plus largement, les méthodes de connexion liées à des services tiers doivent être protégées et vérifiées avec la même rigueur qu’une connexion Dropbox classique.