Come una falla di Lenovo ID ha dato agli hacker accesso a circa 5.000 account Dropbox

Dropbox ha comunicato che circa 5.000 account sono stati compromessi tra il 4 e il 21 agosto 2026 attraverso una falla collegata a Lenovo ID, il servizio di accesso singolo — o SSO, single sign-on — integrato con la piattaforma. In meno di un terzo degli account colpiti, gli aggressori hanno visualizzato o scaricato file. 146

Il punto più preoccupante è che, secondo la ricostruzione disponibile, non servivano né la password Dropbox delle vittime né l’accesso alle loro caselle email. Gli hacker avrebbero sfruttato il rapporto di fiducia tra i due sistemi di identità, che trattavano un indirizzo email come prova sufficiente della titolarità dell’account.

Come funzionava l’attacco

La catena dell’attacco sembra essersi sviluppata in tre passaggi:

1. L’aggressore registrava un Lenovo ID usando l’indirizzo email di un’altra persona.
2. Un difetto nella procedura di verifica di Lenovo permetteva a quell’identità di apparire valida anche se l’aggressore non controllava la casella di posta associata.
3. La vecchia integrazione SSO di Dropbox confrontava l’indirizzo email dichiarato da Lenovo con quello di un account Dropbox già esistente e concedeva l’accesso senza richiedere la password Dropbox usata in precedenza. 3511

In altre parole, non sarebbe stato necessario forzare il sistema delle password di Dropbox o aggirare la sicurezza dell’email. Il bersaglio era il collegamento tra il fornitore di identità, Lenovo ID, e Dropbox, il servizio che accettava quella dichiarazione di identità.

Perché l’autenticazione a più fattori ha fatto la differenza

Gli account coinvolti erano collegati a Lenovo ID, ma non avevano attivato l’autenticazione a più fattori di Dropbox. 11012

In un accesso federato, il login effettuato presso un servizio esterno può creare direttamente una sessione sul servizio collegato. L’MFA di Dropbox avrebbe aggiunto un ulteriore controllo gestito da Dropbox dopo l’autenticazione Lenovo, rendendo insufficiente da sola un’identità Lenovo fraudolenta.

L’episodio, quindi, non dimostra che l’MFA sia stata aggirata: mostra piuttosto perché siano risultati più esposti gli account privi della verifica in due passaggi. 1015

Quali dati sono stati consultati

Dropbox ha dichiarato che gli aggressori hanno visualizzato e scaricato contenuti archiviati negli account colpiti. Le informazioni pubblicate indicano che i file sono stati consultati in meno di un terzo dei circa 5.000 account compromessi. 145

Le fonti disponibili non indicano un unico tipo di file, un volume complessivo dei download o un livello di sensibilità comune a tutte le vittime. Alcuni utenti hanno ricevuto comunicazioni secondo cui i registri Dropbox mostravano un accesso non autorizzato, ma nessuna prova che i loro file fossero stati aperti o scaricati. 2

Gli indizi segnalati dagli utenti

Alcune persone coinvolte hanno riferito di aver trovato Lenovo ID sconosciuti associati ai propri indirizzi email. Il ricercatore di sicurezza Yoni Levy ha condiviso una copia della notifica Dropbox ricevuta da un utente, nella quale veniva descritto l’accesso non autorizzato avvenuto tra il 4 e il 21 agosto e veniva indicato il problema dell’SSO Lenovo. 23

Le ricostruzioni hanno inoltre menzionato attività di accesso associate a Dublino. L’elemento è compatibile con l’ipotesi di account fraudolenti creati presso il fornitore di identità e poi usati come punto d’ingresso, ma non dimostra da solo dove si trovasse ogni aggressore né che tutti gli account siano stati attaccati nello stesso modo.

Quando Dropbox ha avvisato utenti e autorità

Dropbox ha iniziato a informare gli utenti interessati intorno al 31 agosto e al 1° settembre, dopo aver individuato gli accessi non autorizzati. L’azienda ha inoltre dichiarato di aver informato le autorità per la protezione dei dati. 346

La risposta comunicata da Dropbox ha incluso la chiusura delle sessioni coinvolte, la rimozione o il disaccoppiamento dei collegamenti con gli account Lenovo, l’invito a cambiare password e ad attivare la verifica in due passaggi, oltre a restrizioni e misure di sicurezza aggiuntive sul percorso di accesso interessato. 101230

La responsabilità: un problema condiviso

Non si è trattato di una semplice violazione attribuibile a una sola azienda, ma di un guasto nel sistema condiviso tra identità esterna e account Dropbox.

• Lenovo: la sua vecchia procedura di identità avrebbe consentito di creare un Lenovo ID usando un indirizzo email non controllato dall’utente. Il problema apparente riguardava quindi la prova insufficiente del possesso dell’indirizzo. 3512
• Dropbox: la piattaforma avrebbe considerato sufficiente l’asserzione proveniente da Lenovo per collegarla a un account Dropbox già esistente, senza chiedere una credenziale Dropbox già valida, una nuova autenticazione o una procedura più rigorosa per il collegamento. 3911
• La risposta delle due aziende: Lenovo ha descritto il problema come legato a un’integrazione legacy e ha dichiarato di aver corretto il difetto di verifica. Dropbox ha affermato di aver individuato e risolto il problema, chiuso le sessioni, modificato l’integrazione e informato utenti e autorità. 101214

La distinzione è importante: la debolezza nella verifica Lenovo avrebbe creato una falsa identità, ma è stata la logica di collegamento di Dropbox a stabilire se quella falsa identità potesse aprire un account cloud già esistente.

Che cosa è successo al titolo Dropbox

La divulgazione della violazione è stata seguita da un calo del titolo Dropbox nelle contrattazioni after-hours, ma le fonti disponibili non concordano sull’entità esatta del movimento.

Un resoconto Reuters ripreso da diversi media ha indicato una flessione di circa 2,4% negli scambi estesi, mentre Investing.com ha riportato un calo dell’1,8%. 69 Un’altra fonte ha parlato di una discesa superiore al 6%. 8 Il dato specifico del 6,6% non è verificabile sulla base delle informazioni fornite e potrebbe riferirsi a un diverso momento o parametro di mercato.

La lezione per l’identità federata

Un indirizzo email è un identificativo, non la prova automatica che chi lo presenta controlli davvero quella casella o possieda l’account associato.

Il login federato rende l’accesso più rapido, perché consente a un servizio di affidarsi all’autenticazione eseguita da un altro. Ma il meccanismo diventa rischioso quando il servizio che riceve l’identità:

• accetta la dichiarazione dell’indirizzo email senza una verifica indipendente;
• collega automaticamente una nuova identità esterna a un account esistente;
• salta la password già impostata, una richiesta MFA o un canale di recupero verificato;
• considera la modifica del collegamento un normale accesso invece di trattarla come un evento di sicurezza ad alto rischio.

Un’architettura più solida dovrebbe chiedere una conferma esplicita al titolare dell’account prima di associare un nuovo fornitore di identità. Le misure possibili includono una nuova autenticazione, un canale di recupero verificato o sistemi resistenti al phishing.

Il caso Dropbox mostra perché i rapporti di fiducia tra fornitori di identità e servizi debbano essere esaminati con la stessa attenzione riservata alle password: una debolezza in un sistema può trasformarsi nella porta d’ingresso verso un altro.