Bagaimana Celah Lenovo ID Membuat Peretas Bisa Masuk ke Sekitar 5.000 Akun Dropbox

Dropbox mengungkap bahwa sekitar 5.000 akun penggunanya diakses peretas melalui celah pada integrasi Lenovo ID, layanan single sign-on (SSO) pihak ketiga. Akses tanpa izin itu berlangsung pada 4–21 Agustus 2026. Menurut laporan yang mengutip Dropbox, file dilihat atau diunduh dari kurang dari sepertiga akun yang terdampak. 146

Yang membuat insiden ini menonjol, peretas tampaknya tidak perlu mengetahui kata sandi Dropbox korban atau mengakses inbox email mereka. Mereka memanfaatkan cara sistem identitas Lenovo dan Dropbox memperlakukan alamat email sebagai bukti kepemilikan akun.

Bagaimana pengambilalihan akun terjadi

Rangkaian serangan tersebut tampaknya berlangsung dalam tiga tahap:

1. Peretas mendaftarkan Lenovo ID menggunakan alamat email milik orang lain.
2. Cacat pada proses verifikasi email Lenovo membuat identitas itu terlihat valid, meski peretas tidak menguasai inbox email terkait.
3. Integrasi SSO lama Dropbox mencocokkan alamat email dalam klaim identitas Lenovo dengan akun Dropbox yang sudah ada, lalu memberikan akses tanpa meminta kata sandi Dropbox yang sebelumnya digunakan akun tersebut. 3511

Dengan demikian, peretas tidak perlu membobol sistem kata sandi Dropbox atau menembus keamanan email. Mereka mengeksploitasi hubungan kepercayaan antara penyedia identitas—Lenovo ID—dan Dropbox sebagai layanan yang menerima klaim identitas tersebut.

Mengapa autentikasi multifaktor menjadi pembeda

Akun yang terdampak terhubung ke Lenovo ID, tetapi tidak mengaktifkan autentikasi multifaktor (MFA) di Dropbox. 11012

Dalam proses login federatif, keberhasilan login melalui layanan pihak ketiga dapat langsung membentuk sesi pada layanan yang dituju. MFA Dropbox seharusnya menambahkan langkah verifikasi lain yang dikendalikan Dropbox, sehingga Lenovo ID palsu saja tidak cukup untuk menyelesaikan login.

Karena itu, insiden ini terutama berdampak pada akun tanpa verifikasi dua langkah. Kasus tersebut bukan bukti bahwa MFA Dropbox berhasil dilewati, melainkan menunjukkan risiko ketika akun tidak memiliki lapisan verifikasi tambahan setelah login melalui penyedia identitas eksternal. 1015

Data apa yang diakses?

Dropbox mengatakan peretas melihat dan mengunduh konten yang tersimpan di akun terdampak. Laporan publik menyebut file diakses dari kurang dari sepertiga dari sekitar 5.000 akun yang dibobol. 145

Laporan yang tersedia belum menunjukkan satu jenis file tertentu, total volume unduhan, atau tingkat sensitivitas data yang sama pada seluruh korban. Sebagian pengguna diberi tahu bahwa log Dropbox menunjukkan akses tanpa izin, tetapi tidak ada bukti file mereka telah dilihat atau diunduh. 2

Temuan pengguna dan peneliti keamanan

Sejumlah pengguna terdampak melaporkan adanya Lenovo ID yang tidak mereka kenali tetapi terhubung dengan alamat email mereka. Peneliti keamanan Yoni Levy membagikan salinan notifikasi Dropbox yang menjelaskan akses tanpa izin selama periode 4–21 Agustus dan mengidentifikasi masalah pada SSO Lenovo. 23

Laporan lain menyebut aktivitas login yang terkait dengan Dublin. Temuan tersebut konsisten dengan dugaan bahwa akun identitas palsu milik penyedia identitas digunakan sebagai pintu masuk. Namun, hal itu tidak dengan sendirinya membuktikan lokasi setiap peretas atau bahwa seluruh akun terdampak diserang dengan urutan yang persis sama.

Kapan Dropbox memberi tahu pengguna dan regulator?

Dropbox mulai memberi tahu pengguna terdampak sekitar 31 Agustus dan 1 September, setelah mengidentifikasi akses tanpa izin. Perusahaan juga mengatakan telah memberi tahu regulator perlindungan data. 346

Langkah penanganan yang dilaporkan mencakup:

• mengakhiri sesi login yang terdampak;
• menghapus atau memutus tautan akun Lenovo yang terkait;
• menyarankan pengguna mengganti kata sandi dan mengaktifkan verifikasi dua langkah; serta
• membatasi atau menambahkan perlindungan pada jalur login yang terdampak. 101230

Pembagian tanggung jawab Dropbox dan Lenovo

Insiden ini lebih tepat dipahami sebagai kegagalan pada sistem yang saling terhubung, bukan semata-mata pembobolan satu perusahaan.

• Kelemahan Lenovo: Alur identitas lama Lenovo diduga memungkinkan seseorang membuat Lenovo ID menggunakan alamat email yang tidak mereka kuasai. Masalah utamanya adalah kurangnya pembuktian kepemilikan alamat email. 3512
• Kelemahan Dropbox: Dropbox memperlakukan klaim identitas Lenovo sebagai dasar yang cukup untuk menghubungkan atau mengakses akun Dropbox yang sudah ada, tanpa meminta kredensial Dropbox sebelumnya, autentikasi ulang, atau proses pengaitan akun yang lebih kuat. 3911
• Respons kedua perusahaan: Lenovo menyebut masalah tersebut berkaitan dengan integrasi lama dan mengatakan telah menangani persoalan verifikasi yang relevan. Dropbox mengatakan telah mendeteksi dan memperbaiki masalah, mengakhiri sesi, mengubah integrasi yang terdampak, serta memberi tahu pengguna dan regulator. 101214

Perbedaan ini penting. Kelemahan verifikasi Lenovo menciptakan klaim identitas palsu, tetapi logika pengaitan akun Dropbox menentukan apakah klaim tersebut dapat membuka akses ke akun cloud yang sudah ada.

Dampaknya terhadap saham Dropbox

Pengungkapan insiden diikuti penurunan saham Dropbox dalam perdagangan setelah jam bursa. Namun, besarnya penurunan berbeda-beda di antara laporan yang tersedia.

Laporan Reuters yang dikutip sejumlah media menyebut penurunan sekitar 2,4% dalam perdagangan setelah jam bursa, sedangkan Investing.com melaporkan penurunan 1,8%. 69 Laporan lain menyebut saham turun lebih dari 6%. 8 Bukti yang tersedia belum memverifikasi angka spesifik 6,6%, yang mungkin merujuk pada titik pembanding atau sesi perdagangan berbeda.

Pelajaran yang lebih luas tentang federated identity

Alamat email adalah pengenal, bukan bukti otomatis bahwa orang yang menggunakannya menguasai inbox atau memiliki akun yang terkait dengan alamat tersebut.

Login federatif memang mengurangi kerepotan karena pengguna dapat masuk ke satu layanan melalui layanan lain. Namun, model ini menciptakan risiko ketika layanan penerima:

• menerima klaim alamat email dari penyedia identitas tanpa verifikasi independen;
• otomatis menghubungkan identitas pihak ketiga yang baru dengan akun lama;
• melewati kata sandi, tantangan MFA, atau kanal pemulihan yang sudah terverifikasi; atau
• memperlakukan perubahan pengaitan akun sebagai login biasa, bukan peristiwa keamanan berisiko tinggi.

Desain yang lebih aman seharusnya meminta bukti eksplisit dari pemilik akun lama sebelum penyedia identitas baru ditautkan. Bentuknya dapat berupa autentikasi ulang, kanal pemulihan terverifikasi, atau autentikasi tahan phishing.

Kasus Dropbox menunjukkan bahwa kepercayaan antara penyedia identitas dan layanan penerima perlu diawasi seketat kata sandi. Kelemahan pada satu sistem dapat berubah menjadi jalur masuk ke akun penting di sistem lain.