Comment une faille de Lenovo ID a permis d’accéder à environ 5 000 comptes Dropbox

Dropbox a indiqué que des pirates avaient accédé à environ 5 000 comptes en exploitant une faille liée à Lenovo ID, son intégration d’authentification unique — ou SSO, pour single sign-on. Les accès non autorisés ont eu lieu du 4 au 21 août 2026. Des fichiers ont été consultés ou téléchargés dans moins d’un tiers des comptes concernés, selon des informations citant Dropbox. 146

L’incident est particulièrement instructif : les attaquants n’auraient eu besoin ni des mots de passe Dropbox des victimes ni d’un accès à leur messagerie. Ils ont plutôt exploité la manière dont les systèmes d’identité des deux entreprises traitaient une adresse e-mail comme une preuve de propriété du compte.

Le mécanisme de la prise de contrôle

La chaîne d’attaque semble s’être déroulée en trois étapes :

1. Un attaquant créait un compte Lenovo ID avec l’adresse e-mail d’une autre personne.
2. Une défaillance de la procédure de vérification de Lenovo permettait à cette identité d’apparaître comme valide, alors que l’attaquant ne contrôlait pas la boîte de réception.
3. L’ancienne intégration SSO de Dropbox comparait l’adresse contenue dans l’affirmation d’identité Lenovo à celle d’un compte Dropbox existant, puis accordait l’accès sans demander le mot de passe Dropbox déjà associé au compte. 3511

Les pirates n’ont donc pas eu à casser le système de mots de passe de Dropbox ni à contourner la sécurité des e-mails. Ils ont exploité la relation de confiance entre Lenovo ID, le fournisseur d’identité, et Dropbox, le service qui acceptait cette identité.

Pourquoi l’authentification multifacteur a fait la différence

Les comptes touchés étaient associés à Lenovo ID, mais ne disposaient pas de l’authentification multifacteur de Dropbox. 11012

Dans un parcours de connexion fédérée, une authentification réussie auprès d’un service tiers peut créer directement une session auprès du service qui lui fait confiance. L’activation de l’authentification multifacteur Dropbox aurait ajouté une vérification supplémentaire, contrôlée par Dropbox, après l’affirmation Lenovo. Une fausse identité Lenovo n’aurait donc pas suffi à elle seule.

L’incident concerne ainsi surtout les comptes dépourvus de validation en deux étapes ; il ne montre pas que l’authentification multifacteur elle-même a été contournée. 1015

Quelles données ont été consultées ?

Dropbox a déclaré que les attaquants avaient consulté et téléchargé des contenus stockés dans les comptes concernés. Les informations publiées indiquent que des fichiers ont été consultés dans moins d’un tiers des quelque 5 000 comptes compromis. 145

Les rapports disponibles ne permettent pas d’identifier un type de fichier précis, un volume total de téléchargements ou un niveau de sensibilité commun à toutes les victimes. Certains utilisateurs ont été informés que les journaux de Dropbox confirmaient un accès non autorisé, sans toutefois montrer que leurs fichiers avaient été consultés ou téléchargés. 2

Ce que les utilisateurs et les chercheurs ont observé

Des utilisateurs concernés ont signalé la présence de Lenovo ID inconnus associés à leurs propres adresses e-mail. Le chercheur en sécurité Yoni Levy a publié une copie d’une notification Dropbox décrivant les accès non autorisés du 4 au 21 août et mentionnant le problème SSO de Lenovo. 23

Des connexions associées à Dublin ont également été rapportées. Ces éléments sont compatibles avec l’utilisation de comptes frauduleux créés auprès du fournisseur d’identité comme point d’entrée. Ils ne prouvent toutefois ni le lieu où se trouvait chaque attaquant ni que tous les comptes ont été compromis exactement de la même manière.

Quand Dropbox a-t-il prévenu les utilisateurs et les autorités ?

Dropbox a commencé à informer les utilisateurs concernés autour du 31 août et du 1er septembre, après avoir identifié les accès non autorisés. L’entreprise a également indiqué avoir prévenu les autorités chargées de la protection des données. 346

Selon les informations communiquées, Dropbox a mis fin aux sessions concernées, supprimé ou désactivé les liens avec les comptes Lenovo, recommandé de modifier les mots de passe et d’activer la validation en deux étapes, puis restreint ou renforcé le parcours de connexion touché. 101230

Une défaillance partagée entre Lenovo et Dropbox

Il ne s’agit pas d’une compromission classique imputable à une seule entreprise, mais d’une défaillance du système formé par les deux services.

• La faiblesse apparente de Lenovo : son ancien parcours d’identité aurait permis de créer un Lenovo ID avec une adresse e-mail que l’attaquant ne contrôlait pas. Le problème concernait donc l’absence de preuve suffisante de la propriété de l’adresse. 3512
• La faiblesse apparente de Dropbox : Dropbox a considéré l’affirmation externe de Lenovo comme suffisante pour relier cette identité à un compte Dropbox existant, sans exiger le mot de passe déjà associé, une nouvelle authentification ou une procédure plus robuste de rattachement du compte. 3911
• La réponse des deux entreprises : Lenovo a présenté le problème comme lié à une ancienne intégration et a déclaré avoir corrigé la faiblesse de vérification concernée. Dropbox a indiqué avoir détecté et corrigé le problème, fermé les sessions, modifié l’intégration et informé les utilisateurs ainsi que les autorités. 101214

La distinction est importante : la faiblesse de vérification de Lenovo a créé une fausse affirmation d’identité, mais c’est la logique de rattachement de Dropbox qui a déterminé si cette affirmation pouvait déverrouiller un compte cloud déjà existant.

Quelle a été la réaction de l’action Dropbox ?

La révélation de l’incident a été suivie d’un recul de l’action Dropbox dans les échanges après clôture, mais l’ampleur exacte du mouvement reste incertaine selon les sources disponibles.

Un article de Reuters cité par plusieurs médias évoque une baisse d’environ 2,4 % dans les échanges prolongés, tandis qu’Investing.com rapporte un recul de 1,8 % après la clôture. 69 Un autre article fait état d’une baisse de plus de 6 %. 8 Les éléments disponibles ne permettent pas de vérifier précisément le chiffre de 6,6 %, qui peut correspondre à un autre point de référence ou à une autre période de cotation.

La leçon pour les systèmes d’identité fédérée

Une adresse e-mail est un identifiant ; elle ne prouve pas automatiquement que la personne qui la présente contrôle la boîte aux lettres ou possède le compte qui lui est associé.

La connexion fédérée simplifie l’accès en permettant à un service de s’appuyer sur l’authentification d’un autre. Mais cette commodité devient risquée lorsqu’un service :

• accepte l’affirmation d’un fournisseur d’identité sans vérification indépendante ;
• relie automatiquement une nouvelle identité tierce à un ancien compte ;
• contourne le mot de passe existant, une demande d’authentification multifacteur ou un canal de récupération vérifié ;
• traite une modification du rattachement du compte comme une simple connexion, plutôt que comme un événement de sécurité à haut risque.

Une conception plus solide demanderait une preuve explicite du titulaire du compte avant d’y rattacher un nouveau fournisseur d’identité : nouvelle authentification, canal de récupération vérifié ou authentification résistante à l’hameçonnage, par exemple.

L’affaire Dropbox montre que les relations de confiance entre fournisseurs d’identité méritent autant d’attention que les mots de passe. Une faiblesse dans un système peut devenir une porte d’entrée vers un autre.