Kebocoran Dropbox Ogos 2026: Sekitar 5,000 Akaun Terjejas Melalui Kelemahan Lenovo ID

Dropbox mendedahkan bahawa pihak tidak dibenarkan telah mengakses sekitar 5,000 akaun pengguna antara 4 hingga 21 Ogos 2026. Insiden itu dikaitkan dengan sambungan pengesahan lama Lenovo ID untuk sesetengah akaun Dropbox, bukannya dilaporkan sebagai pencerobohan ke atas sistem pelanggan Lenovo. 16

Apa yang diakses penyerang?

Menurut Dropbox, penyerang melihat atau memuat turun fail daripada kurang satu pertiga daripada kira-kira 5,000 akaun yang terjejas. Ini bermakna fail diakses dalam kurang daripada kira-kira 1,700 akaun; laporan lazimnya menganggarkannya sekitar 1,500 akaun. 568

Pendedahan itu tidak menunjukkan bahawa fail telah diakses dalam setiap akaun yang terjejas. Laporan yang tersedia juga tidak menyatakan jenis fail yang terlibat.

Bagaimana laluan Lenovo ID dieksploitasi?

Akaun Dropbox yang terjejas mempunyai dua ciri yang sama: ia dipautkan kepada Lenovo ID dan tidak mengaktifkan pengesahan dua faktor (2FA) Dropbox. 14

Berdasarkan notifikasi Dropbox yang dilaporkan BleepingComputer, isu dalam proses pengesahan e-mel Lenovo membolehkan pihak tidak dibenarkan mendaftarkan Lenovo ID menggunakan alamat e-mel orang lain. Penyerang kemudian boleh menggunakan Lenovo ID palsu itu untuk memasuki akaun Dropbox yang didaftarkan dengan alamat e-mel sama, tanpa perlu memasukkan kata laluan Dropbox mangsa. 2

Ringkasnya, kelemahan berlaku pada hubungan kepercayaan antara dua sistem identiti tersebut. Laluan lama Lenovo ID boleh mengesahkan akses ke akaun Dropbox yang dipautkan apabila perlindungan akaun Dropbox itu tidak mempunyai faktor pengesahan kedua. 26

Tindakan yang diambil Dropbox

Selepas mengesan aktiviti tersebut, Dropbox:

• menamatkan sesi yang disahkan melalui Lenovo ID; 46
• membuang atau melumpuhkan sambungan antara Lenovo ID dan akaun Dropbox; 46
• memaklumkan pengguna yang terjejas; 15
• mengubah aliran log masuk atau pemautan supaya pengguna perlu memasukkan kata laluan Dropbox sebelum menggunakan laluan Lenovo ID. 6

Langkah-langkah ini bertujuan menutup laluan pengesahan khusus yang digunakan dalam insiden berkenaan.

Adakah Lenovo sendiri diceroboh?

Lenovo berkata ia telah mengenal pasti integrasi lama yang berkaitan dan menangani isu itu. Syarikat itu menyatakan pelanggan serta sistemnya sendiri tidak terjejas, manakala insiden ini melibatkan akaun Dropbox yang menggunakan laluan log masuk Lenovo ID. 68

Perbezaan ini penting: kompromi yang dilaporkan melibatkan akaun Dropbox yang disahkan menerusi integrasi tersebut, bukannya pencerobohan yang dilaporkan terhadap akaun pelanggan atau sistem Lenovo.

Regulator dan reaksi pasaran

Dropbox memberitahu Reuters bahawa ia telah memaklumkan regulator perlindungan data, walaupun laporan yang tersedia tidak mengenal pasti regulator atau bidang kuasa yang menerima notifikasi itu. 15

Saham Dropbox juga jatuh dalam dagangan selepas waktu pasaran susulan pendedahan insiden itu, menurut laporan pasaran ketika itu. 12

Pengajaran utama untuk pengguna

Insiden ini menunjukkan risiko apabila sambungan identiti pihak ketiga dibenarkan mengesahkan akses akaun tanpa perlindungan setara pada setiap peringkat. Dalam kes ini, isu pengesahan e-mel bersama ketiadaan 2FA Dropbox membuka ruang kepada eksploitasi laluan log masuk lama. 26

Bagi pengguna yang mungkin terjejas, notifikasi daripada Dropbox ialah rekod paling langsung untuk mengesahkan sama ada akaun mereka terlibat dan tindakan pemulihan yang perlu dibuat. Secara lebih luas, kaedah log masuk yang dipautkan perlu diberi penelitian keselamatan yang sama seperti laluan kata laluan utama dan pengesahan dua faktor.