Dropbox-lek trof 5.000 accounts via fout in Lenovo ID-aanmelding

Dropbox heeft bekendgemaakt dat een onbevoegde partij toegang kreeg tot ongeveer 5.000 gebruikersaccounts tussen 4 en 21 augustus 2026. Het incident hing samen met een verouderde aanmeldkoppeling via Lenovo ID voor bepaalde Dropbox-accounts. Het is niet beschreven als een inbraak in de klantsystemen van Lenovo. 16

Welke gegevens kregen de aanvallers te zien?

Volgens Dropbox zijn bij minder dan een derde van de circa 5.000 getroffen accounts bestanden bekeken of gedownload. Dat betekent dat bestanden zijn geraadpleegd bij minder dan ongeveer 1.700 accounts; in berichtgeving wordt vaak gesproken over circa 1.500 accounts. 568

De bekendmaking stelt niet dat bij elk getroffen account bestanden zijn geopend. Ook is niet bekendgemaakt om wat voor bestanden het ging.

Zo werd de Lenovo ID-aanmeldroute misbruikt

De getroffen Dropbox-accounts hadden twee kenmerken: ze waren gekoppeld aan een Lenovo ID en hadden geen tweestapsverificatie van Dropbox ingeschakeld. 14

Volgens Dropbox-meldingen waar BleepingComputer over berichtte, maakte een probleem in Lenovo's e-mailverificatie het mogelijk om een Lenovo ID te registreren met het e-mailadres van iemand anders. Vervolgens kon de aanvaller die frauduleuze Lenovo ID gebruiken om in te loggen op het Dropbox-account dat aan hetzelfde e-mailadres was gekoppeld, zonder het Dropbox-wachtwoord van het slachtoffer in te voeren. 2

De zwakke plek zat dus in de vertrouwensrelatie tussen de twee identiteitsdiensten. De oude Lenovo ID-route kon een gekoppeld Dropbox-account verifiëren wanneer de gebruikelijke Dropbox-beveiliging geen tweede factor omvatte. 26

Welke maatregelen nam Dropbox?

Nadat het de activiteit had vastgesteld, nam Dropbox meerdere maatregelen:

• alle sessies beëindigen die via Lenovo ID waren geverifieerd; 46
• de koppeling tussen Lenovo ID's en Dropbox-accounts verwijderen of uitschakelen; 46
• getroffen gebruikers informeren; 15
• de aanmeld- en koppelprocedure aanpassen: gebruikers moeten nu eerst hun Dropbox-wachtwoord invoeren voordat zij de Lenovo ID-route kunnen gebruiken. 6

Daarmee moet juist de aanmeldroute die bij dit incident werd misbruikt, zijn afgesloten.

Was Lenovo zelf gehackt?

Lenovo verklaarde de betreffende verouderde integratie te hebben geïdentificeerd en het probleem te hebben verholpen. Volgens Lenovo zijn de eigen klanten en systemen niet getroffen; het ging om Dropbox-accounts die de Lenovo ID-aanmeldroute gebruikten. 68

Dat onderscheid is belangrijk: de gemelde compromittering betrof Dropbox-accounts die via de koppeling werden geverifieerd, niet een gemelde inbraak in Lenovo-klantaccounts of -systemen.

Toezichthouders en beursreactie

Dropbox vertelde Reuters dat het gegevensbeschermingsautoriteiten over het incident had geïnformeerd. Uit de beschikbare berichtgeving blijkt niet welke toezichthouders of rechtsgebieden dat waren. 15

Na de bekendmaking daalde het aandeel Dropbox in de nabeurshandel, volgens marktberichtgeving van dat moment. 12

De belangrijkste les

Het incident laat zien welk risico ontstaat wanneer een externe identiteitskoppeling toegang tot een account kan geven zonder op elke stap hetzelfde beschermingsniveau. Hier kwamen een probleem met e-mailverificatie en het ontbreken van Dropbox-tweestapsverificatie samen in een kwetsbare, oude aanmeldroute. 26

Voor gebruikers is een bericht van Dropbox zelf de meest directe manier om vast te stellen of hun account betrokken was en welke maatregelen voor hen gelden. De bredere les: ook gekoppelde aanmeldmethoden verdienen dezelfde kritische beveiligingscontrole als een wachtwoord in combinatie met tweestapsverificatie.