드롭박스 5,000개 계정 무단 접근…레노버 ID 연동 취약점 악용

드롭박스는 2026년 8월 4일부터 21일까지 약 5,000개 이용자 계정에 제3자가 무단 접근했다고 밝혔다. 이번 사고는 일부 드롭박스 계정에 쓰이던 레거시 레노버 ID 인증 연동과 관련됐으며, 레노버의 고객 시스템 자체가 침해됐다는 의미는 아니다. 16

무엇이 유출됐나

드롭박스에 따르면 공격자는 피해 계정 약 5,000개 가운데 3분의 1 미만에서 파일을 열람하거나 다운로드했다. 단순 계산으로는 약 1,700개 미만이며, 보도에서는 약 1,500개 계정으로 추산됐다. 568

다만 무단 접근을 받은 모든 계정에서 파일이 열람·다운로드된 것은 아니다. 현재 공개된 보도만으로는 어떤 종류의 파일이 대상이었는지도 확인되지 않았다.

비밀번호 없이 접근이 가능했던 방식

영향을 받은 계정에는 두 가지 공통점이 있었다. 레노버 ID와 연동돼 있었고, 드롭박스 2단계 인증(2FA)이 활성화되지 않았다는 점이다. 14

BleepingComputer가 보도한 드롭박스의 피해자 통지에 따르면, 레노버의 이메일 인증 절차 문제로 공격자가 타인의 이메일 주소를 사용해 레노버 ID를 등록할 수 있었다. 이후 공격자는 이렇게 만든 레노버 ID로, 같은 이메일 주소에 연결된 드롭박스 계정에 피해자의 드롭박스 비밀번호를 입력하지 않고 접근할 수 있었다. 2

핵심은 두 서비스 사이의 신뢰 연동이었다. 레노버 ID를 이용한 기존 로그인 경로가 연결된 드롭박스 계정을 인증했고, 해당 계정에 2단계 인증이 없었던 경우 이 경로가 악용될 수 있었다. 26

드롭박스가 취한 조치

드롭박스는 문제를 파악한 뒤 다음 조치를 시행했다.

• 레노버 ID로 인증된 세션을 모두 종료했다. 46
• 레노버 ID와 드롭박스 계정 간 연결을 제거하거나 비활성화했다. 46
• 영향을 받은 이용자에게 통지했다. 15
• 레노버 ID 경로를 이용하기 전 드롭박스 비밀번호를 입력하도록 로그인·연동 절차를 변경했다. 6

즉, 사고에 이용된 특정 인증 경로를 차단하는 데 초점이 맞춰졌다.

레노버 고객이나 시스템도 침해됐나

레노버는 문제의 기존 연동을 확인해 조치했으며, 자사 고객과 시스템은 영향을 받지 않았다고 밝혔다. 이번 사고는 레노버 ID 로그인 경로를 이용하던 드롭박스 계정에 영향을 준 것으로 설명됐다. 68

따라서 공개된 내용상 이번 사건은 레노버 고객 계정이나 레노버 시스템에 대한 침입으로 보고된 것이 아니라, 두 서비스 간 인증 연동을 통해 드롭박스 계정이 무단 접근된 사례다.

규제기관 통지와 주가 반응

드롭박스는 로이터에 데이터보호 규제기관에도 사고 사실을 알렸다고 말했다. 다만 어떤 국가·지역의 어떤 기관에 통지했는지는 공개 보도에서 특정되지 않았다. 15

사건 공개 뒤 드롭박스 주가는 시간외 거래에서 하락했다는 시장 보도도 나왔다. 12

이용자가 확인할 점

드롭박스의 피해 통지를 받았다면 해당 안내가 본인 계정의 영향 여부와 필요한 후속 조치를 확인하는 가장 직접적인 자료다. 이번 사건은 외부 계정 연동 로그인도 일반적인 비밀번호·2단계 인증 로그인만큼 엄격하게 관리돼야 한다는 점을 보여준다.

특히 연결 로그인 수단을 사용한다면, 계정별 2단계 인증 설정 여부와 불필요한 외부 계정 연동이 남아 있는지를 점검할 필요가 있다. 이번 사례에서는 이메일 인증 문제와 드롭박스 2단계 인증 부재가 결합해 오래된 로그인 경로가 노출됐다. 26