Violazione Dropbox di agosto 2026: cosa è successo e chi è stato coinvolto

Dropbox ha comunicato che un soggetto non autorizzato ha avuto accesso a circa 5.000 account utente tra il 4 e il 21 agosto 2026. L’episodio è stato ricondotto a una vecchia integrazione di autenticazione con Lenovo ID per alcuni account Dropbox, non a una violazione dei sistemi o degli account clienti di Lenovo. 16

Che cosa è stato consultato o scaricato

Secondo Dropbox, gli aggressori hanno visualizzato o scaricato file in meno di un terzo dei circa 5.000 account interessati. In termini assoluti, si tratta di meno di circa 1.700 account; diverse ricostruzioni hanno indicato una cifra nell’ordine di 1.500. 568

Questo non significa che i file siano stati raggiunti in tutti gli account compromessi. Le informazioni disponibili non precisano inoltre la natura dei documenti eventualmente consultati o scaricati.

Come è stata sfruttata la procedura di accesso con Lenovo ID

Gli account Dropbox coinvolti avevano due elementi in comune: erano collegati a un Lenovo ID e non avevano attivato l’autenticazione a due fattori di Dropbox. 14

In base alle notifiche di Dropbox riportate da BleepingComputer, un problema nel processo di verifica dell’email di Lenovo avrebbe consentito a un soggetto non autorizzato di registrare un Lenovo ID usando l’indirizzo email di un’altra persona. L’aggressore poteva poi usare quel Lenovo ID fraudolento per accedere all’account Dropbox associato allo stesso indirizzo, senza dover inserire la password Dropbox della vittima. 2

Il punto debole, quindi, riguardava il rapporto di fiducia tra i due sistemi di identità. Il vecchio percorso tramite Lenovo ID poteva autenticare un account Dropbox collegato quando le protezioni dell’account non includevano un secondo fattore. 26

Le misure adottate da Dropbox

Dopo aver individuato l’attività, Dropbox ha:

• terminato le sessioni autenticate tramite Lenovo ID; 46
• rimosso o disattivato il collegamento tra Lenovo ID e gli account Dropbox; 46
• notificato gli utenti interessati; 15
• modificato il flusso di accesso e collegamento, richiedendo ora l’inserimento della password Dropbox prima di usare il percorso Lenovo ID. 6

Le misure sono state pensate per chiudere lo specifico canale di autenticazione sfruttato nell’incidente.

Lenovo è stata violata?

Lenovo ha dichiarato di aver individuato la vecchia integrazione interessata e di aver risolto il problema. L’azienda ha affermato che i propri clienti e sistemi non sono stati colpiti: l’incidente ha riguardato invece account Dropbox che usavano il percorso di accesso con Lenovo ID. 68

La distinzione è rilevante: quanto riportato riguarda la compromissione di account Dropbox autenticati attraverso l’integrazione, non un’intrusione segnalata nei sistemi Lenovo o negli account della sua clientela.

Notifiche alle autorità e reazione del mercato

Dropbox ha detto a Reuters di aver informato le autorità per la protezione dei dati, senza indicare nelle informazioni disponibili quali organismi o giurisdizioni fossero stati notificati. 15

Dopo la divulgazione della violazione, le azioni Dropbox sono scese nelle contrattazioni fuori orario, secondo le cronache di mercato dell’epoca. 12

Cosa insegna questo caso

L’episodio mostra il rischio di una connessione di identità di terze parti che possa autenticare un account senza protezioni equivalenti in ogni passaggio. In questo caso, un problema nella verifica dell’email e l’assenza dell’autenticazione a due fattori di Dropbox hanno esposto un vecchio percorso di accesso. 26

Per chi ritiene di poter essere coinvolto, la notifica inviata da Dropbox è il riferimento più diretto per verificare lo stato del proprio account e le eventuali azioni richieste. Più in generale, anche i metodi di accesso collegati a servizi esterni vanno protetti e valutati con lo stesso rigore di una password accompagnata dall’autenticazione a due fattori.