Bagaimana kecacatan Lenovo ID memberi akses kepada kira-kira 5,000 akaun Dropbox

Dropbox mengesahkan kira-kira 5,000 akaun telah diakses tanpa kebenaran antara 4 hingga 21 Ogos 2026 melalui kelemahan yang melibatkan integrasi pihak ketiga Lenovo ID. Kandungan dalam akaun dilihat atau dimuat turun dalam kurang daripada satu pertiga akaun yang terjejas. 146

Yang menjadikan insiden ini membimbangkan ialah penggodam dipercayai tidak perlu mengetahui kata laluan Dropbox mangsa atau mengakses peti masuk e-mel mereka. Sebaliknya, mereka mengeksploitasi kepercayaan antara sistem identiti Lenovo ID dan Dropbox.

Bagaimana pengambilalihan akaun berlaku

Serangan itu dipercayai berlaku melalui tiga langkah:

1. Penggodam mendaftarkan Lenovo ID menggunakan alamat e-mel milik orang lain.
2. Kecacatan dalam proses pengesahan e-mel Lenovo membolehkan identiti itu kelihatan sah walaupun penggodam tidak mengawal peti masuk e-mel berkenaan.
3. Integrasi lama sistem single sign-on (SSO) Dropbox memadankan alamat e-mel dalam pengesahan identiti Lenovo dengan akaun Dropbox sedia ada, lalu memberikan akses tanpa memerlukan kata laluan Dropbox asal. 3511

SSO ialah kaedah yang membolehkan pengguna log masuk ke satu perkhidmatan menggunakan identiti daripada perkhidmatan lain. Dalam kes ini, kelemahan pada satu sistem identiti menjadi laluan masuk ke akaun storan awan di sistem lain.

Justeru, penggodam tidak perlu memecahkan sistem kata laluan Dropbox atau menembusi keselamatan e-mel. Mereka hanya perlu mengeksploitasi cara kedua-dua sistem mentafsir alamat e-mel sebagai bukti pemilikan akaun.

Mengapa pengesahan berbilang faktor penting

Akaun yang terjejas telah dipautkan kepada Lenovo ID tetapi tidak mengaktifkan pengesahan berbilang faktor (MFA) Dropbox. 11012

Dalam aliran log masuk berfederasi, log masuk pihak ketiga yang berjaya boleh terus mewujudkan sesi pada perkhidmatan yang menerima identiti tersebut. MFA Dropbox akan menambah satu lagi langkah pengesahan yang dikawal oleh Dropbox selepas dakwaan identiti Lenovo diterima.

Ini bermakna Lenovo ID palsu semata-mata tidak mencukupi untuk melengkapkan log masuk. Insiden ini tidak menunjukkan bahawa MFA telah dipintas; sebaliknya, ia terutama menjejaskan akaun yang tidak mengaktifkan perlindungan tambahan itu. 1015

Apakah yang diakses penggodam?

Dropbox berkata penggodam melihat dan memuat turun kandungan yang disimpan dalam akaun terjejas. Laporan awam menunjukkan fail diakses dalam kurang daripada satu pertiga daripada kira-kira 5,000 akaun yang dikompromi. 145

Bagaimanapun, laporan yang tersedia tidak menyatakan satu jenis fail tertentu, jumlah keseluruhan data yang dimuat turun atau tahap sensitiviti yang sama bagi semua mangsa. Sesetengah pengguna pula dimaklumkan bahawa log Dropbox menunjukkan akses tanpa kebenaran, tetapi tiada bukti fail mereka dilihat atau dimuat turun. 2

Apa yang disedari pengguna dan penyelidik keselamatan

Sesetengah pengguna terjejas melaporkan kewujudan Lenovo ID yang tidak dikenali tetapi dikaitkan dengan alamat e-mel mereka. Penyelidik keselamatan Yoni Levy turut berkongsi salinan notifikasi Dropbox yang menerangkan akses tanpa kebenaran antara 4 hingga 21 Ogos serta kaitannya dengan isu SSO Lenovo. 23

Laporan lain menyebut aktiviti log masuk yang dikaitkan dengan Dublin. Pemerhatian ini selari dengan kemungkinan akaun identiti palsu digunakan sebagai pintu masuk. Namun, ia tidak membuktikan lokasi sebenar setiap penyerang atau bahawa semua akaun terjejas melalui urutan serangan yang sama.

Bila Dropbox memaklumkan pengguna dan pengawal selia?

Dropbox mula menghantar notifikasi kepada pengguna terjejas sekitar 31 Ogos dan 1 September, selepas mengenal pasti akses tanpa kebenaran. Syarikat itu juga berkata pihaknya telah memaklumkan pengawal selia perlindungan data. 346

Antara tindakan yang dilaporkan diambil Dropbox ialah:

• menamatkan sesi yang terjejas;
• membuang atau memutuskan pautan akaun Lenovo yang berkaitan;
• menasihatkan pengguna menukar kata laluan dan mengaktifkan pengesahan dua langkah; dan
• mengehadkan atau menambah perlindungan pada laluan log masuk yang terjejas. 101230

Bagaimana tanggungjawab dibahagikan antara Dropbox dan Lenovo

Insiden ini lebih tepat dilihat sebagai kegagalan sistem bersama, bukannya kompromi yang hanya melibatkan satu syarikat.

• Kelemahan Lenovo: Aliran identiti lama Lenovo didakwa membenarkan penyerang mencipta Lenovo ID menggunakan alamat e-mel yang tidak mereka kawal. Masalah utamanya ialah pemilikan alamat e-mel tidak disahkan dengan secukupnya. 3512
• Kelemahan Dropbox: Dropbox menganggap pengesahan identiti Lenovo itu mencukupi untuk memautkan dan mengakses akaun Dropbox sedia ada, tanpa meminta bukti melalui kelayakan Dropbox asal, pengesahan semula atau proses pemautan akaun yang lebih kukuh. 3911
• Tindakan kedua-dua syarikat: Lenovo mengklasifikasikan isu itu sebagai melibatkan integrasi lama dan berkata masalah pengesahan berkaitan telah ditangani. Dropbox pula berkata pihaknya mengesan serta membaiki isu tersebut, menamatkan sesi terlibat, mengubah integrasi berkenaan dan memaklumkan pengguna serta pengawal selia. 101214

Perbezaan ini penting. Kelemahan pengesahan Lenovo menghasilkan tuntutan identiti yang palsu, tetapi logik pemautan akaun Dropbox menentukan sama ada tuntutan itu boleh membuka akaun awan yang telah lama wujud.

Apa kesannya terhadap saham Dropbox?

Pendedahan mengenai pelanggaran itu diikuti penurunan saham Dropbox dalam dagangan selepas waktu pasaran, tetapi laporan yang tersedia tidak bersetuju tentang saiz tepat kejatuhan tersebut.

Laporan Reuters yang dipetik beberapa penerbitan menyebut penurunan kira-kira 2.4 peratus, manakala Investing.com melaporkan kejatuhan 1.8 peratus dalam dagangan selepas waktu pasaran. 69 Satu lagi laporan menyatakan saham itu merosot lebih 6 peratus. 8

Berdasarkan bukti yang tersedia, angka khusus 6.6 peratus tidak dapat disahkan. Ia mungkin merujuk kepada titik perbandingan atau sesi dagangan yang berbeza.

Pengajaran lebih besar tentang identiti berfederasi

Alamat e-mel ialah pengenal identiti—bukan bukti automatik bahawa seseorang benar-benar mengawal peti masuk atau memiliki akaun yang dipautkan kepada alamat itu.

Log masuk berfederasi memang memudahkan pengguna kerana satu perkhidmatan boleh mengesahkan identiti melalui perkhidmatan lain. Namun, risikonya meningkat apabila perkhidmatan penerima:

• menerima dakwaan alamat e-mel daripada penyedia identiti tanpa pengesahan sendiri;
• memautkan identiti pihak ketiga yang baharu kepada akaun lama secara automatik;
• mengetepikan kata laluan, cabaran MFA atau saluran pemulihan yang telah disahkan; atau
• menganggap perubahan pemautan akaun sebagai log masuk biasa, bukan peristiwa keselamatan berisiko tinggi.

Reka bentuk yang lebih selamat perlu meminta bukti jelas daripada pemilik akaun sedia ada sebelum penyedia identiti baharu dipautkan. Langkah itu boleh merangkumi pengesahan semula, saluran pemulihan yang telah disahkan atau kaedah pengesahan tahan pancingan data.

Kes Dropbox ini menunjukkan bahawa hubungan kepercayaan antara penyedia identiti dan perkhidmatan penerima perlu diteliti sama serius seperti sistem kata laluan. Kelemahan pada satu sistem boleh bertukar menjadi kunci masuk ke sistem yang lain.