Dropboxの2026年8月の不正アクセス、何が起きたのか

Dropboxは、2026年8月4日から8月21日にかけて、第三者が約5,000件のユーザーアカウントへ不正にアクセスしたと公表しました。問題となったのは、特定のDropboxアカウントに使われていた旧式のLenovo ID認証連携です。Lenovoの顧客システムそのものへの侵入が報告された、という内容ではありません。16

何が閲覧・ダウンロードされたのか

Dropboxによると、攻撃者がファイルを閲覧またはダウンロードしたのは、影響を受けた約5,000アカウントの3分の1未満でした。つまり、ファイルへのアクセスが確認されたのは約1,700件未満で、報道ではおよそ1,500件と伝えられています。568

ただし、全ての侵害アカウントでファイルが見られたわけではなく、入手可能な報道では対象ファイルの種類も明らかにされていません。

Lenovo ID経由でどう侵入されたのか

影響を受けたDropboxアカウントには、次の共通点がありました。

• Lenovo IDと連携していた
• Dropbox側の2段階認証を有効にしていなかった

14

BleepingComputerが報じたDropboxの利用者通知によれば、Lenovoのメールアドレス検証プロセスの問題により、攻撃者は他人のメールアドレスを使ってLenovo IDを登録できたとされます。その不正に作られたLenovo IDを使い、同じメールアドレスに紐づくDropboxアカウントへ、被害者のDropboxパスワードを入力せずにアクセスできたということです。2

要するに、問題は二つの認証システム間にあった「信頼関係」です。Dropboxの通常の認証を直接突破したというより、旧式のLenovo ID連携が、2段階認証のないアカウントへの認証経路になっていました。26

Dropboxが実施した対策

Dropboxは不審なアクセスを特定した後、以下の対応を行いました。

• Lenovo IDで認証されたセッションを終了
• Lenovo IDとDropboxアカウントの連携を削除または無効化
• 影響を受けた利用者へ通知
• Lenovo ID経由のサインイン・連携時にも、Dropboxのパスワード入力を必須化

1456

これらは、今回悪用された認証経路を閉じるための措置です。

Lenovo自体が侵害されたのか

Lenovoは、問題に関係した旧式の連携を特定し、対処したと説明しています。一方で、自社の顧客やシステムは影響を受けていないとしています。影響を受けたのは、Lenovo IDをDropboxのログイン経路として利用していたDropboxアカウントでした。68

この区別は重要です。報道ベースでは、Lenovoの顧客アカウントやシステムへの侵入ではなく、両サービスの認証連携を経由したDropboxアカウントへの不正アクセスとされています。

当局への通知と市場の反応

Dropboxはロイターに対し、データ保護当局へ通知したと説明しました。ただし、どの国・地域のどの当局に通知したかは、入手可能な報道では特定されていません。15

また、この事案の公表後、Dropbox株は時間外取引で下落したと報じられています。12

利用者が押さえるべきポイント

今回の事案は、外部IDによるログイン連携が、パスワードと2段階認証による通常のログインと同水準で保護されていなければ、弱点になり得ることを示しました。メールアドレス検証の不備とDropboxの2段階認証が未設定だったことが重なり、旧式のログイン経路が悪用されました。26

自身のアカウントが影響を受けたかどうかや個別の対応については、Dropboxから届いた通知を確認するのが最も確実です。あわせて、Dropboxを含む重要なサービスでは2段階認証を有効にし、外部アカウント連携も定期的に見直すことが重要です。