레노버 ID 하나로 드롭박스 계정 5,000개 접근한 해커들

드롭박스 계정 약 5,000개가 2026년 8월 4일부터 21일까지 무단 접근을 받았습니다. 공격자는 드롭박스 비밀번호를 알아내거나 피해자의 이메일 받은편지함을 장악하지 않았습니다. 대신 레노버 ID와 드롭박스 사이의 구형 싱글 사인온(SSO) 연동에서 이메일 주소를 계정 소유권의 증거처럼 취급한 허점을 악용했습니다. 드롭박스에 따르면 침해된 계정 가운데 파일이 열람되거나 다운로드된 계정은 3분의 1 미만입니다. 146

공격은 어떻게 이뤄졌나

공개된 조사 및 보도 내용을 종합하면 공격 흐름은 다음과 같습니다.

1. 공격자가 다른 사람의 이메일 주소를 사용해 레노버 ID를 등록했습니다.
2. 레노버의 이메일 인증 절차 결함으로, 공격자가 실제로 해당 이메일 계정에 접근하지 않았는데도 레노버 ID가 유효한 것처럼 처리됐습니다.
3. 드롭박스의 구형 SSO 연동은 레노버가 전달한 이메일 주소와 기존 드롭박스 계정의 이메일 주소가 일치한다는 이유로 두 계정을 연결하고 로그인을 허용했습니다. 3511

즉, 공격자는 드롭박스의 비밀번호 체계를 직접 뚫거나 피해자의 이메일 보안을 우회할 필요가 없었습니다. 레노버 ID를 인증 제공자(identity provider)로 신뢰한 드롭박스의 계정 연결 구조가 공격 통로가 된 것입니다.

MFA가 켜져 있었다면 왜 달랐나

문제가 된 계정은 레노버 ID와 연결돼 있었지만 드롭박스의 다중요소 인증(MFA)을 활성화하지 않은 계정이었습니다. 11012

외부 인증 서비스로 로그인하는 연합 인증 방식에서는 인증 제공자의 로그인 성공이 드롭박스 세션을 설정하는 근거가 될 수 있습니다. 이때 드롭박스 MFA가 켜져 있으면 레노버 ID 인증 뒤에 드롭박스가 직접 관리하는 추가 확인 절차가 필요합니다. 위조된 레노버 ID만으로는 로그인을 끝낼 수 없다는 뜻입니다.

따라서 이번 사건은 MFA가 뚫렸다는 의미가 아니라, MFA가 없는 계정이 외부 ID 위조에 특히 취약했다는 의미에 가깝습니다. 1015

해커들이 본 데이터는 무엇이었나

드롭박스는 공격자가 피해 계정에 저장된 콘텐츠를 열람하고 다운로드했다고 밝혔습니다. 다만 공개 보도상 실제 파일 접근이 확인된 계정은 약 5,000개 침해 계정의 3분의 1 미만입니다. 145

현재 공개된 자료만으로는 특정 파일 형식이나 전체 다운로드 규모, 피해자별 정보 민감도가 동일했는지 여부를 확인할 수 없습니다. 일부 이용자는 드롭박스로부터 무단 계정 접근 기록은 있었지만 파일을 열람하거나 다운로드했다는 증거는 없다는 안내를 받았습니다. 2

이용자와 연구자가 발견한 정황

일부 피해 이용자는 자신의 이메일 주소와 연결된 낯선 레노버 ID를 확인했다고 알렸습니다. 보안 연구자 **요니 레비(Yoni Levy)**는 8월 4일부터 21일까지 무단 접근이 발생했다는 내용과 레노버 SSO 문제를 언급한 드롭박스 알림 사본을 공개했습니다. 23

또한 로그인 활동이 아일랜드 더블린과 연관돼 있었다는 보고도 나왔습니다. 이는 위조된 ID 제공자 계정이 접근 수단으로 활용됐다는 설명과 양립할 수 있습니다. 다만 이 정황만으로 모든 공격자의 실제 위치나 모든 피해 계정에서 똑같은 공격 순서가 진행됐다고 단정할 수는 없습니다.

드롭박스는 언제 이용자와 당국에 알렸나

드롭박스는 무단 접근을 확인한 뒤 8월 31일과 9월 1일 무렵 피해 이용자들에게 통지하기 시작했습니다. 회사는 개인정보 보호 관련 규제기관에도 사건을 알렸다고 밝혔습니다. 346

보도된 대응 조치에는 다음이 포함됩니다.

• 영향을 받은 로그인 세션 종료
• 레노버 계정과 드롭박스 계정의 연결 제거 또는 분리
• 이용자에게 비밀번호 변경 및 2단계 인증 활성화 권고
• 문제가 된 로그인 경로 제한 및 추가 보안 조치 적용 101230

레노버는 이번 문제가 구형 연동과 관련된 사안이라고 설명했으며, 해당 인증 문제를 해결했다고 밝혔습니다. 드롭박스 역시 문제를 탐지하고 수정했으며, 영향을 받은 세션을 종료하고 연동 방식을 변경한 뒤 이용자와 규제기관에 통지했다고 밝혔습니다. 101214

책임은 드롭박스와 레노버에 어떻게 나뉘나

이번 사건은 한 회사의 단순한 시스템 침해라기보다 두 기업의 인증 시스템이 맞물린 지점에서 발생한 공동 시스템 실패로 보는 편이 정확합니다.

• 레노버 측 문제: 공격자가 실제로 소유하지 않은 이메일 주소로 레노버 ID를 만들 수 있도록 구형 인증 흐름이 허용한 점입니다. 핵심은 이메일 소유권 확인이 충분하지 않았다는 데 있습니다. 3512
• 드롭박스 측 문제: 외부 인증 서비스인 레노버가 제시한 이메일 주소만으로 기존 드롭박스 계정과의 연결 및 접근을 허용한 점입니다. 기존 드롭박스 비밀번호, 재인증, 검증된 복구 수단 등 추가 확인 절차가 필요했습니다. 3911
• 양사의 후속 대응: 레노버는 구형 연동에 포함된 인증 문제를 해결했다고 밝혔고, 드롭박스는 취약한 연동을 수정하고 세션과 계정 연결을 정리한 뒤 이용자 및 규제기관에 알렸습니다. 101214

레노버의 인증 허점이 가짜 신원 정보를 만들어냈다면, 그 정보가 기존 클라우드 계정을 실제로 열 수 있을지는 드롭박스의 계정 연결 로직이 결정했습니다.

드롭박스 주가는 얼마나 하락했나

침해 사실이 알려진 뒤 시간 외 거래에서 드롭박스 주가가 하락했다는 보도가 나왔지만, 하락 폭은 매체마다 다릅니다.

로이터를 인용한 보도는 시간 외 거래에서 약 2.4% 하락했다고 전했고, Investing.com은 1.8% 하락을 제시했습니다. 69 반면 다른 보도는 주가가 6% 넘게 떨어졌다고 전했습니다. 8

현재 제공된 자료만으로는 **6.6%**라는 구체적인 수치를 확인하기 어렵습니다. 서로 다른 기준 시점이나 거래 구간을 반영한 수치일 가능성은 있지만, 이를 확정적인 주가 하락 폭으로 제시할 근거는 충분하지 않습니다.

이번 사건이 연합 인증에 던지는 경고

이메일 주소는 사용자를 식별하는 문자열이지, 그 사람이 해당 메일함을 실제로 통제하거나 그 주소에 연결된 계정을 소유한다는 자동 증명이 아닙니다.

연합 인증은 한 서비스의 계정으로 다른 서비스에 로그인할 수 있게 해 편의성을 높입니다. 그러나 다음과 같은 설계가 결합되면 한 시스템의 작은 허점이 다른 서비스의 계정 탈취로 이어질 수 있습니다.

• 인증 제공자의 이메일 소유권 주장을 별도 확인 없이 수용하는 경우
• 새로 만든 외부 ID를 기존 계정에 자동으로 연결하는 경우
• 기존 비밀번호, MFA, 재인증 또는 검증된 복구 채널을 건너뛰는 경우
• 계정 연결 변경을 고위험 보안 이벤트가 아닌 일반 로그인으로 취급하는 경우

더 안전한 설계라면 새 인증 제공자를 기존 계정에 연결하기 전에 기존 계정 소유자의 명시적인 확인을 요구해야 합니다. 재인증, 검증된 복구 채널, 피싱에 강한 인증 방식 등이 그 방법이 될 수 있습니다.

이번 드롭박스 사건은 비밀번호만큼이나 인증 제공자 간 신뢰와 계정 연결 절차를 면밀히 점검해야 한다는 점을 보여줍니다. 한 시스템이 이메일 주소를 잘못 믿으면, 그 신뢰가 다른 시스템의 문을 여는 열쇠로 바뀔 수 있습니다.