उत्तरप्रकाशित24 स्रोत
Lenovo ID की खामी से हैकर्स ने करीब 5,000 Dropbox खातों तक कैसे पहुंच बनाई
4 से 21 अगस्त 2026 के बीच करीब 5,000 Dropbox खातों तक अनधिकृत पहुंच बनाई गई। हमलावरों ने दूसरे लोगों के ईमेल पतों से Lenovo ID बनाए। इस घटना में दो स्तरों पर समस्या दिखी: Lenovo की पुरानी पहचान प्रणाली ने ईमेल स्वामित्व को ठीक से सत्यापित नहीं किया, जबकि Dropbox ने उस Lenovo पहचान को मौजूदा खाते से जोड़ने के लिए पर्...
प्रकाशितकर्ताGPT-5.6 Luna से संपादितGPT Image 1.5 से चित्र बनाए गए
शोध उत्तर
मुख्य निष्कर्ष
- 4 से 21 अगस्त 2026 के बीच करीब 5,000 Dropbox खातों तक अनधिकृत पहुंच बनाई गई। हमलावरों ने दूसरे लोगों के ईमेल पतों से Lenovo ID बनाए।
- इस घटना में दो स्तरों पर समस्या दिखी: Lenovo की पुरानी पहचान प्रणाली ने ईमेल स्वामित्व को ठीक से सत्यापित नहीं किया, जबकि Dropbox ने उस Lenovo पहचान को मौजूदा खाते से जोड़ने के लिए पर्याप्त मान लिया।
- रिपोर्टों में शेयर बाजार की प्रतिक्रिया को लेकर अंतर है—एक समकालीन रिपोर्ट में आफ्टर आवर्स गिरावट 1.8% और दूसरी में 6% से अधिक बताई गई; उपलब्ध जानकारी से 6.6% की गिरावट की पुष्टि नहीं होती।
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the Dropbox–Lenovo ID security breach that caused Dropbox shares to fall as much as 6.6% in post-market trading, including. Article summary: Hackers used a flawed Lenovo ID-to-Dropbox single-sign-on path from August 4 to August 21, 2026, to take over about 5,000 Dropbox accounts without knowing victims’ Dropbox passwords or accessing their email inboxes. Drop. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers,
Dropbox के अनुसार, 4 से 21 अगस्त 2026 के बीच हैकर्स ने Lenovo ID से जुड़े करीब 5,000 खातों तक अनधिकृत पहुंच बनाई। प्रभावित खातों में से एक-तिहाई से कम में फाइलें देखी या डाउनलोड की गईं। 1
4
6
इस मामले की सबसे अहम बात यह है कि हमलावरों को पीड़ितों का Dropbox पासवर्ड जानने या उनके ईमेल इनबॉक्स में घुसने की जरूरत नहीं पड़ी। उन्होंने Lenovo ID और Dropbox के बीच मौजूद पुराने सिंगल साइन-ऑन (SSO) भरोसे का फायदा उठाया। SSO वह व्यवस्था है जिसमें किसी दूसरी सेवा की पहचान के आधार पर उपयोगकर्ता को Dropbox जैसी सेवा में लॉग इन कराया जाता है।
हमला कैसे काम करता था
उपलब्ध रिपोर्टों के अनुसार, हमले की कड़ी लगभग इस तरह बनी:
- हमलावर ने किसी दूसरे व्यक्ति के ईमेल पते से Lenovo ID बनाया।
- Lenovo की ईमेल-वेरिफिकेशन प्रक्रिया की एक खामी ने उस पहचान को वैध दिखने दिया, जबकि हमलावर उस ईमेल इनबॉक्स को नियंत्रित नहीं करता था।
- Dropbox के पुराने SSO इंटीग्रेशन ने Lenovo से आए पहचान-संदेश में मौजूद ईमेल पते को मौजूदा Dropbox खाते से मिला दिया और खाते तक पहुंच दे दी—बिना पुराने Dropbox पासवर्ड के।
3
5
11
यानी हमलावरों ने Dropbox की पासवर्ड प्रणाली को सीधे नहीं तोड़ा। उन्होंने दो कंपनियों की पहचान प्रणालियों के बीच बने भरोसे का दुरुपयोग किया: Lenovo ID पहचान बताने वाला पक्ष था और Dropbox उस पहचान पर भरोसा करने वाली सेवा।
MFA वाले खाते क्यों सुरक्षित रहे
प्रभावित खाते Lenovo ID से जुड़े थे, लेकिन उनमें Dropbox का मल्टी-फैक्टर ऑथेंटिकेशन यानी MFA या टू-स्टेप वेरिफिकेशन सक्रिय नहीं था। 1
10
12
फेडरेटेड लॉगिन में तीसरी-पक्ष सेवा पर सफल साइन-इन के बाद Dropbox पर एक सेशन बन सकता है। Dropbox MFA सक्रिय होता तो Lenovo के फर्जी पहचान-दावे के बाद Dropbox खुद एक अतिरिक्त सत्यापन मांगता। इससे केवल नकली Lenovo ID के आधार पर लॉगिन पूरा नहीं हो पाता। इसलिए यह घटना MFA को बायपास किए जाने का उदाहरण नहीं, बल्कि उन खातों के लिए बड़ा जोखिम थी जिन पर MFA लगा ही नहीं था। 10
15
हैकर्स ने कौन-सा डेटा देखा
Dropbox ने कहा कि हमलावरों ने प्रभावित खातों में रखी सामग्री को देखा और डाउनलोड किया। सार्वजनिक रिपोर्टों के मुताबिक, करीब 5,000 प्रभावित खातों में से एक-तिहाई से कम में फाइलों तक पहुंच हुई। 1
4
5
उपलब्ध जानकारी यह नहीं बताती कि सभी पीड़ितों में एक ही तरह की फाइलें थीं, कुल कितना डेटा डाउनलोड हुआ या डेटा की संवेदनशीलता का स्तर क्या था। कुछ उपयोगकर्ताओं को Dropbox ने बताया कि लॉग में अनधिकृत पहुंच तो दिखी, लेकिन उनकी फाइलें देखे या डाउनलोड किए जाने का कोई सबूत नहीं मिला। 2
उपयोगकर्ताओं और शोधकर्ता ने क्या देखा
कुछ प्रभावित उपयोगकर्ताओं ने अपने ईमेल पतों से जुड़े ऐसे Lenovo ID देखे जिन्हें उन्होंने खुद नहीं बनाया था। सुरक्षा शोधकर्ता योनी लेवी ने Dropbox का एक नोटिफिकेशन साझा किया, जिसमें 4 से 21 अगस्त की अनधिकृत पहुंच और Lenovo SSO समस्या का उल्लेख था। 2
3
कुछ रिपोर्टों में डबलिन से जुड़ी लॉगिन गतिविधि का भी जिक्र है। यह पैटर्न इस संभावना से मेल खाता है कि फर्जी पहचान-प्रदाता खाते प्रवेश के शुरुआती माध्यम थे। हालांकि, केवल डबलिन से जुड़ी गतिविधि से हर हमलावर का स्थान या हर प्रभावित खाते में अपनाई गई बिल्कुल समान प्रक्रिया साबित नहीं होती।
Dropbox ने उपयोगकर्ताओं और नियामकों को कब बताया
Dropbox ने अनधिकृत पहुंच की पहचान करने के बाद करीब 31 अगस्त और 1 सितंबर से प्रभावित उपयोगकर्ताओं को सूचनाएं भेजनी शुरू कीं। कंपनी ने डेटा-सुरक्षा नियामकों को जानकारी देने की बात भी कही। 3
4
6
कंपनी की बताई गई कार्रवाई में प्रभावित सेशन समाप्त करना, Lenovo खातों के लिंक हटाना या अलग करना, उपयोगकर्ताओं को पासवर्ड बदलने और टू-स्टेप वेरिफिकेशन चालू करने की सलाह देना तथा प्रभावित लॉगिन रास्ते पर पाबंदी या अतिरिक्त सुरक्षा लगाना शामिल था। 10
12
30
जिम्मेदारी Dropbox और Lenovo के बीच कैसे बंटी
यह घटना केवल Lenovo या केवल Dropbox की पारंपरिक सेंध नहीं थी। यह दोनों प्रणालियों के बीच बने भरोसे की साझा विफलता थी।
- Lenovo की कथित चूक: इसकी पुरानी पहचान-प्रणाली ने ऐसे ईमेल पते से Lenovo ID बनाने की अनुमति दी जिसे बनाने वाला व्यक्ति नियंत्रित नहीं करता था। मुख्य समस्या ईमेल स्वामित्व का पर्याप्त प्रमाण न मांगना थी।
12
- Dropbox की कथित चूक: Dropbox ने बाहरी Lenovo पहचान-दावे को मौजूदा खाते से जुड़ने या उस तक पहुंच देने के लिए पर्याप्त मान लिया। उसे मौजूदा Dropbox पासवर्ड, दोबारा प्रमाणीकरण या अधिक मजबूत अकाउंट-लिंकिंग प्रक्रिया की जरूरत रखनी चाहिए थी।
9
- दोनों कंपनियों की प्रतिक्रिया: Lenovo ने इसे पुराने इंटीग्रेशन से जुड़ा मामला बताया और कहा कि संबंधित वेरिफिकेशन समस्या का समाधान कर दिया गया। Dropbox ने कहा कि उसने समस्या का पता लगाकर उसे ठीक किया, प्रभावित सेशन समाप्त किए, इंटीग्रेशन में बदलाव किए और उपयोगकर्ताओं व नियामकों को सूचित किया।
10
14
फर्क समझना जरूरी है: Lenovo की वेरिफिकेशन कमजोरी ने फर्जी पहचान-दावा संभव बनाया, लेकिन उस दावे से किसी पुराने और महत्वपूर्ण Dropbox खाते का दरवाजा खुलेगा या नहीं—यह Dropbox की अकाउंट-लिंकिंग व्यवस्था ने तय किया।
Dropbox के शेयरों पर क्या असर पड़ा
सुरक्षा घटना सामने आने के बाद आफ्टर-आवर्स कारोबार में Dropbox के शेयरों में गिरावट की खबर आई, लेकिन गिरावट की सटीक सीमा पर रिपोर्टों में अंतर है।
Reuters की रिपोर्ट का हवाला देने वाली खबरों में विस्तारित कारोबार के दौरान करीब 2.4% गिरावट बताई गई, जबकि Investing.com ने 1.8% की आफ्टर-आवर्स गिरावट रिपोर्ट की। 6
9 एक अन्य रिपोर्ट में शेयरों के 6% से अधिक गिरने की बात कही गई।
8 उपलब्ध साक्ष्य से खास तौर पर 6.6% की गिरावट की पुष्टि नहीं होती; यह किसी अलग बाजार-संदर्भ या कारोबारी सत्र से जुड़ा आंकड़ा हो सकता है।
फेडरेटेड पहचान-प्रणालियों के लिए बड़ी सीख
ईमेल पता केवल एक पहचानकर्ता है। वह अपने-आप यह साबित नहीं करता कि उसे पेश करने वाला व्यक्ति उस इनबॉक्स या उससे जुड़े खाते का वास्तविक मालिक है।
फेडरेटेड लॉगिन उपयोगकर्ता के लिए प्रक्रिया आसान बनाता है, लेकिन जोखिम तब बढ़ जाता है जब कोई सेवा:
- पहचान-प्रदाता के ईमेल दावे को स्वतंत्र सत्यापन के बिना स्वीकार कर ले;
- नए तीसरे-पक्ष पहचान खाते को पुराने खाते से अपने-आप जोड़ दे;
- मौजूदा पासवर्ड, MFA चुनौती या सत्यापित रिकवरी चैनल को दरकिनार कर दे; या
- पहचान-लिंक बदलने को सामान्य लॉगिन माने, न कि उच्च-जोखिम वाली सुरक्षा घटना।
बेहतर डिजाइन में नए पहचान-प्रदाता को मौजूदा खाते से जोड़ने से पहले खाते के वास्तविक मालिक से स्पष्ट प्रमाण मांगा जाना चाहिए। इसके लिए दोबारा लॉगिन, सत्यापित रिकवरी चैनल या फिशिंग-रोधी प्रमाणीकरण जैसे उपाय इस्तेमाल किए जा सकते हैं। Dropbox की घटना दिखाती है कि पहचान-प्रदाता पर भरोसे और अकाउंट-लिंकिंग की समीक्षा उतनी ही गंभीरता से करनी चाहिए जितनी पासवर्ड सुरक्षा की—क्योंकि एक प्रणाली की कमजोरी दूसरी सेवा में प्रवेश का रास्ता बन सकती है।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"Lenovo ID की खामी से हैकर्स ने करीब 5,000 Dropbox खातों तक कैसे पहुंच बनाई" का संक्षिप्त उत्तर क्या है?
4 से 21 अगस्त 2026 के बीच करीब 5,000 Dropbox खातों तक अनधिकृत पहुंच बनाई गई। हमलावरों ने दूसरे लोगों के ईमेल पतों से Lenovo ID बनाए।
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
4 से 21 अगस्त 2026 के बीच करीब 5,000 Dropbox खातों तक अनधिकृत पहुंच बनाई गई। हमलावरों ने दूसरे लोगों के ईमेल पतों से Lenovo ID बनाए। इस घटना में दो स्तरों पर समस्या दिखी: Lenovo की पुरानी पहचान प्रणाली ने ईमेल स्वामित्व को ठीक से सत्यापित नहीं किया, जबकि Dropbox ने उस Lenovo पहचान को मौजूदा खाते से जोड़ने के लिए पर्याप्त मान लिया।
मुझे अभ्यास में आगे क्या करना चाहिए?
रिपोर्टों में शेयर बाजार की प्रतिक्रिया को लेकर अंतर है—एक समकालीन रिपोर्ट में आफ्टर आवर्स गिरावट 1.8% और दूसरी में 6% से अधिक बताई गई; उपलब्ध जानकारी से 6.6% की गिरावट की पुष्टि नहीं होती।