AnswersPublished24 sources
Slik kunne hackere ta seg inn i Dropbox uten passord
Rundt 5 000 Dropbox kontoer ble utsatt for uautorisert tilgang mellom 4. og 21. Angrepet kombinerte to svakheter: Lenovo ID kunne tilsynelatende opprettes med ubekreftede e postadresser, mens Dropbox stolte på denne identiteten ved kobling til eksisterende kontoer.
Publisert avRedigert med GPT-5.6 LunaBilder generert med GPT Image 1.5
Research answer
Key takeaways
- Rundt 5 000 Dropbox kontoer ble utsatt for uautorisert tilgang mellom 4. og 21.
- Angrepet kombinerte to svakheter: Lenovo ID kunne tilsynelatende opprettes med ubekreftede e postadresser, mens Dropbox stolte på denne identiteten ved kobling til eksisterende kontoer.
- Rapportene spriker om markedsreaksjonen: én samtidig omtale viste til et fall på 1,8 prosent etter stengetid, mens en annen meldte om mer enn 6 prosent.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the Dropbox–Lenovo ID security breach that caused Dropbox shares to fall as much as 6.6% in post-market trading, including. Article summary: Hackers used a flawed Lenovo ID-to-Dropbox single-sign-on path from August 4 to August 21, 2026, to take over about 5,000 Dropbox accounts without knowing victims’ Dropbox passwords or accessing their email inboxes. Drop. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers,
Dropbox opplyser at hackere fikk tilgang til rundt 5 000 kontoer gjennom en svakhet i Lenovo ID, selskapets tredjepartsintegrasjon for single sign-on (SSO). Den uautoriserte tilgangen fant sted fra 4. til 21. august 2026. I færre enn én av tre av de berørte kontoene ble filer åpnet eller lastet ned, ifølge rapporter som viser til Dropbox. 1
4
6
Det spesielle ved hendelsen er at angriperne tilsynelatende ikke trengte ofrenes Dropbox-passord – eller tilgang til e-postinnboksene deres. I stedet utnyttet de hvordan identitetssystemene til Lenovo og Dropbox behandlet en e-postadresse som bevis på hvem som eide kontoen.
Slik fungerte konto-overtakelsen
Angrepet ser ut til å ha bestått av tre trinn:
- Angriperen opprettet en Lenovo ID med en annen persons e-postadresse.
- En feil i Lenovos prosess for e-postbekreftelse gjorde at identiteten kunne fremstå som gyldig, selv om angriperen ikke kontrollerte innboksen.
- Dropbox’ eldre SSO-integrasjon matchet e-postadressen i Lenovo-identiteten med en eksisterende Dropbox-konto og ga tilgang uten å kreve det opprinnelige Dropbox-passordet.
3
5
11
Angriperne trengte dermed ikke å bryte seg inn i Dropbox’ passordsystem eller omgå e-postsikkerheten. De utnyttet tillitsforholdet mellom identitetsleverandøren Lenovo ID og Dropbox, tjenesten som godtok identitetsopplysningene.
Derfor var tofaktorautentisering viktig
De berørte kontoene var koblet til Lenovo ID, men hadde ikke aktivert flerfaktorautentisering i Dropbox. 1
10
12
Ved en føderert innlogging kan en vellykket innlogging hos en ekstern tjeneste opprette en aktiv økt hos tjenesten som brukeren skal inn på. Dropbox’ egen MFA ville ha lagt til et ekstra kontrollpunkt etter Lenovo-bekreftelsen. En falsk Lenovo-identitet ville da ikke vært tilstrekkelig alene.
Hendelsen viser derfor først og fremst hvor sårbare kontoer uten totrinnsbekreftelse var – ikke at tofaktorautentisering i seg selv ble omgått. 10
15
Hva fikk angriperne tilgang til?
Dropbox sier at angriperne åpnet og lastet ned innhold som var lagret i de berørte kontoene. Offentlig omtale tyder på at filer ble åpnet i færre enn én av tre av de rundt 5 000 kompromitterte kontoene. 1
4
5
Rapportene som er tilgjengelige, fastslår ikke én bestemt filtype, et samlet nedlastingsvolum eller et felles sensitivitetnivå for ofrene. Enkelte brukere fikk beskjed om at Dropbox’ logger viste uautorisert kontotilgang, men ingen tegn til at filene deres var åpnet eller lastet ned. 2
Dette la brukere og forskere merke til
Noen berørte brukere oppdaget ukjente Lenovo ID-er knyttet til deres egne e-postadresser. Sikkerhetsforskeren Yoni Levy delte en kopi av et Dropbox-varsel som beskrev den uautoriserte tilgangen mellom 4. og 21. august og pekte på Lenovo SSO-problemet. 2
3
Det ble også rapportert om innloggingsaktivitet knyttet til Dublin. Dette er forenlig med at falske kontoer hos identitetsleverandøren ble brukt som inngangsport, men opplysningene beviser ikke hvor alle angriperne befant seg, eller at hver berørte konto ble angrepet på nøyaktig samme måte.
Når varslet Dropbox brukerne og myndighetene?
Dropbox begynte å varsle berørte brukere rundt 31. august og 1. september, etter at selskapet hadde identifisert den uautoriserte tilgangen. Selskapet opplyste også at det hadde varslet datatilsynsmyndigheter. 3
4
6
Tiltakene som er omtalt, omfattet å avslutte berørte innloggede økter, fjerne eller koble fra Lenovo-koblinger, anbefale brukerne å endre passord og aktivere totrinnsbekreftelse, samt begrense eller sikre den berørte innloggingsløsningen. 10
12
30
En svikt i begge systemene
Hendelsen var ikke et enkeltstående innbrudd hos bare Lenovo eller Dropbox. Den var en svikt i samspillet mellom to systemer.
- Lenovos tilsynelatende svikt: Den eldre identitetsflyten skal ha gjort det mulig å opprette en Lenovo ID med en e-postadresse angriperen ikke kontrollerte. Problemet var mangelfull dokumentasjon på at brukeren faktisk eide e-postadressen.
12
- Dropbox’ tilsynelatende svikt: Dropbox godtok Lenovo-bekreftelsen som tilstrekkelig grunnlag for å koble seg til en eksisterende konto, uten å kreve det opprinnelige Dropbox-passordet, ny autentisering eller en sterkere prosess for kontokobling.
9
- Selskapenes respons: Lenovo beskrev saken som knyttet til en eldre integrasjon og sa at den relevante feilen i bekreftelsen var håndtert. Dropbox sa at problemet var oppdaget og utbedret, at økter var avsluttet, at integrasjonen var endret, og at brukere og myndigheter var varslet.
10
14
Forskjellen er viktig: Lenovos svakhet skapte en falsk identitetspåstand, mens Dropbox’ logikk for kontokobling avgjorde om denne påstanden kunne åpne en allerede etablert skylagringskonto.
Uklart hvor mye Dropbox-aksjen falt
Etter at sikkerhetshendelsen ble kjent, falt Dropbox-aksjen i handelen etter stengetid. Den nøyaktige størrelsen på fallet er imidlertid uklar i rapportene.
En Reuters-rapport som flere medier viste til, beskrev et fall på rundt 2,4 prosent i handelen etter stengetid, mens Investing.com rapporterte et fall på 1,8 prosent. 6
9 En annen omtale sa at aksjen falt mer enn 6 prosent.
8 Det tilgjengelige materialet bekrefter ikke det konkrete tallet 6,6 prosent, som kan ha vist til et annet sammenligningspunkt eller en annen handelssesjon.
Lærdommen for føderert innlogging
En e-postadresse er en identifikator. Den er ikke automatisk et bevis på at personen som oppgir den, kontrollerer innboksen eller eier kontoen som er knyttet til adressen.
Føderert innlogging gjør det enklere å bruke én tjeneste til å logge inn på en annen. Men løsningen blir risikabel når en tjeneste:
- godtar identitetsleverandørens e-postpåstand uten en egen kontroll;
- kobler en ny tredjepartsidentitet automatisk til en gammel konto;
- hopper over eksisterende passord, MFA eller en bekreftet gjenopprettingskanal; eller
- behandler en endring i kontokoblingen som en vanlig innlogging i stedet for en høyrisiko sikkerhetshendelse.
En sikrere løsning ville kreve et tydelig samtykke eller en ny bekreftelse fra den eksisterende kontoeieren før en ny identitetsleverandør kobles til kontoen. Det kan for eksempel være ny innlogging, en bekreftet gjenopprettingskanal eller phishing-resistent autentisering.
Dropbox-hendelsen viser hvorfor tillitsforhold mellom identitetstjenester og kontokobling må granskes like nøye som passord. En svakhet i ett system kan bli en snarvei inn i et annet.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Slik kunne hackere ta seg inn i Dropbox uten passord"?
Rundt 5 000 Dropbox kontoer ble utsatt for uautorisert tilgang mellom 4. og 21.
What are the key points to validate first?
Rundt 5 000 Dropbox kontoer ble utsatt for uautorisert tilgang mellom 4. og 21. Angrepet kombinerte to svakheter: Lenovo ID kunne tilsynelatende opprettes med ubekreftede e postadresser, mens Dropbox stolte på denne identiteten ved kobling til eksisterende kontoer.
What should I do next in practice?
Rapportene spriker om markedsreaksjonen: én samtidig omtale viste til et fall på 1,8 prosent etter stengetid, mens en annen meldte om mer enn 6 prosent.