Kebocoran Dropbox Agustus 2026: Apa yang Terjadi dan Siapa yang Terdampak?

Dropbox mengungkap bahwa pihak tak berwenang mengakses sekitar 5.000 akun pengguna pada 4 hingga 21 Agustus 2026. Insiden ini terkait koneksi autentikasi lama Lenovo ID untuk sebagian akun Dropbox, dan bukan dilaporkan sebagai pembobolan sistem pelanggan Lenovo. 16

Data apa yang diakses pelaku?

Menurut Dropbox, pelaku melihat atau mengunduh file dari kurang dari sepertiga dari sekitar 5.000 akun yang terdampak. Artinya, akses file terjadi pada kurang dari sekitar 1.700 akun; sejumlah laporan menyebut angkanya kira-kira 1.500 akun. 568

Pengungkapan yang tersedia tidak menyatakan bahwa file diakses di setiap akun yang disusupi. Laporan tersebut juga tidak merinci jenis file yang dilihat atau diunduh.

Bagaimana celah login Lenovo ID dimanfaatkan?

Akun Dropbox yang terdampak memiliki dua kesamaan: terhubung dengan Lenovo ID dan belum mengaktifkan autentikasi dua faktor (2FA) Dropbox. 14

Berdasarkan notifikasi Dropbox yang dikutip BleepingComputer, masalah dalam proses verifikasi email Lenovo memungkinkan pihak tak berwenang mendaftarkan Lenovo ID menggunakan alamat email milik orang lain. Lenovo ID palsu itu kemudian dapat dipakai untuk mengakses akun Dropbox yang terdaftar dengan alamat email sama, tanpa perlu memasukkan kata sandi Dropbox korban. 2

Sederhananya, kelemahannya berada pada hubungan kepercayaan antara dua sistem identitas tersebut. Jalur lama Lenovo ID dapat mengautentikasi akun Dropbox yang terhubung ketika perlindungan akun Dropbox belum mencakup faktor verifikasi kedua. 26

Langkah yang diambil Dropbox

Setelah menemukan aktivitas tersebut, Dropbox melakukan beberapa tindakan:

• Mengakhiri sesi yang diautentikasi melalui Lenovo ID. 46
• Menghapus atau menonaktifkan koneksi antara Lenovo ID dan akun Dropbox. 46
• Memberi tahu pengguna yang terdampak. 15
• Mengubah alur login/penautan sehingga pengguna harus memasukkan kata sandi Dropbox sebelum menggunakan jalur Lenovo ID. 6

Langkah-langkah ini ditujukan untuk menutup jalur autentikasi spesifik yang digunakan dalam insiden tersebut.

Apakah sistem atau pelanggan Lenovo ikut dibobol?

Lenovo menyatakan telah mengidentifikasi integrasi lama terkait dan menangani masalahnya. Perusahaan mengatakan pelanggan serta sistemnya sendiri tidak terdampak; insiden ini mengenai akun Dropbox yang menggunakan jalur masuk Lenovo ID. 68

Pembedaan ini penting: kompromi yang dilaporkan terjadi pada akun Dropbox yang diautentikasi melalui integrasi tersebut, bukan sebagai laporan intrusi ke akun pelanggan atau sistem Lenovo.

Notifikasi regulator dan reaksi pasar

Dropbox mengatakan kepada Reuters bahwa perusahaan telah memberi tahu regulator perlindungan data. Namun, laporan yang tersedia tidak menyebut regulator maupun yurisdiksi mana yang menerima pemberitahuan itu. 15

Saham Dropbox juga turun 1,8% dalam perdagangan setelah jam bursa setelah kabar kebocoran tersebut muncul, menurut laporan pasar saat itu. 12

Pelajaran utama bagi pengguna

Kasus ini menunjukkan risiko ketika koneksi identitas pihak ketiga dapat menjadi jalan masuk akun tanpa perlindungan yang setara pada setiap tahap. Dalam kasus ini, masalah verifikasi email dan tidak aktifnya 2FA Dropbox bersama-sama membuka jalur login lama tersebut. 26

Bagi pengguna yang mungkin terdampak, notifikasi dari Dropbox adalah rujukan paling langsung untuk mengetahui status akun dan langkah pemulihan yang berlaku. Secara lebih luas, metode login yang ditautkan ke layanan lain perlu ditinjau dengan standar keamanan yang sama seperti kata sandi utama dan autentikasi dua faktor.