Falha no login Lenovo ID expôs cerca de 5 mil contas do Dropbox

O Dropbox informou que uma parte não autorizada acessou cerca de 5 mil contas entre 4 e 21 de agosto de 2026. O incidente foi associado a uma integração antiga de autenticação com o Lenovo ID, usada por determinadas contas do Dropbox — e não foi descrito como uma invasão aos sistemas ou às contas de clientes da Lenovo. 16

O que os invasores conseguiram acessar

Segundo o Dropbox, os invasores visualizaram ou baixaram arquivos em menos de um terço das aproximadamente 5 mil contas afetadas. Isso equivale a menos de cerca de 1.700 contas; reportagens apontaram uma estimativa em torno de 1.500. 568

A divulgação não diz que havia arquivos acessados em todas as contas comprometidas, nem detalha quais tipos de documentos ou conteúdos foram envolvidos.

Como a falha no Lenovo ID foi explorada

As contas afetadas tinham duas características: estavam vinculadas a um Lenovo ID e não contavam com a autenticação em dois fatores do Dropbox ativada. 14

De acordo com notificações do Dropbox relatadas pelo BleepingComputer, uma falha no processo de verificação de e-mail da Lenovo permitia que alguém registrasse um Lenovo ID usando o endereço de e-mail de outra pessoa. Em seguida, o invasor podia usar esse Lenovo ID fraudulento para entrar na conta do Dropbox cadastrada com o mesmo e-mail, sem informar a senha da vítima no Dropbox. 2

Em termos práticos, o problema estava na relação de confiança entre os dois sistemas de identidade. A rota antiga via Lenovo ID conseguia autenticar uma conta vinculada do Dropbox quando não havia uma segunda etapa de verificação na própria conta. 26

O que o Dropbox fez após identificar o incidente

A empresa tomou as seguintes medidas:

• encerrou as sessões autenticadas por Lenovo ID; 46
• removeu ou desativou a conexão entre Lenovo IDs e contas do Dropbox; 46
• notificou os usuários impactados; 15
• alterou o fluxo de acesso e vinculação para exigir a senha do Dropbox antes do uso do caminho via Lenovo ID. 6

As mudanças foram adotadas para bloquear especificamente a via de autenticação explorada no caso.

A Lenovo foi invadida?

A Lenovo afirmou ter identificado a integração antiga em questão e corrigido o problema. A companhia disse que seus próprios clientes e sistemas não foram afetados; o incidente atingiu contas do Dropbox que utilizavam o caminho de login pelo Lenovo ID. 68

A distinção é relevante: o comprometimento relatado envolveu contas do Dropbox autenticadas pela integração, não uma invasão reportada dos sistemas da Lenovo ou das contas de seus clientes.

Reguladores e reação do mercado

O Dropbox disse à Reuters que notificou autoridades de proteção de dados, embora as reportagens disponíveis não identifiquem quais órgãos ou jurisdições receberam a comunicação. 15

As ações do Dropbox também caíram no pregão estendido após a divulgação da violação, segundo reportagens de mercado da época. 12

A principal lição do caso

O episódio mostra o risco de permitir que uma integração de identidade de terceiros autentique uma conta sem proteções equivalentes em todas as etapas. Neste caso, uma falha de verificação de e-mail, somada à ausência de autenticação em dois fatores no Dropbox, abriu uma rota antiga de acesso. 26

Para quem recebeu uma notificação, a mensagem enviada pelo Dropbox é o registro mais direto para confirmar se a conta foi envolvida e quais medidas devem ser tomadas. De forma mais ampla, métodos de login vinculados a outros serviços exigem o mesmo nível de proteção e revisão que uma senha própria combinada à autenticação em dois fatores.