เจาะ Dropbox ผ่านช่องทาง Lenovo ID: กระทบบัญชีราว 5,000 ราย

Dropbox เปิดเผยว่ามีบุคคลที่ไม่ได้รับอนุญาตเข้าถึงบัญชีผู้ใช้ราว 5,000 บัญชี ในช่วงวันที่ 4–21 สิงหาคม 2026 เหตุการณ์เชื่อมโยงกับช่องทางยืนยันตัวตน Lenovo ID แบบเดิมสำหรับบัญชี Dropbox บางส่วน ไม่ได้มีรายงานว่าเป็นการเจาะระบบลูกค้าหรือระบบภายในของ Lenovo โดยตรง 16

ผู้โจมตีเข้าถึงข้อมูลอะไรบ้าง

Dropbox ระบุว่า ผู้โจมตีได้ เข้าดูหรือดาวน์โหลดไฟล์จากบัญชีไม่ถึงหนึ่งในสาม ของบัญชีที่ได้รับผลกระทบราว 5,000 บัญชี คิดเป็นไม่ถึงประมาณ 1,700 บัญชี โดยสื่อบางแห่งประเมินไว้ราว 1,500 บัญชี 568

ข้อมูลที่เปิดเผยไม่ได้หมายความว่าไฟล์ถูกเข้าถึงจากทุกบัญชีที่ถูกบุกรุก และยังไม่มีการระบุประเภทของไฟล์ที่ผู้โจมตีเข้าดูหรือดาวน์โหลด

ช่องทาง Lenovo ID ถูกใช้โจมตีอย่างไร

บัญชี Dropbox ที่ได้รับผลกระทบมีลักษณะร่วมกัน 2 ประการ คือเชื่อมโยงกับ Lenovo ID และไม่ได้เปิดใช้การยืนยันตัวตนสองชั้นของ Dropbox (2FA) 14

ตามรายละเอียดในหนังสือแจ้งผู้ใช้ที่ BleepingComputer รายงาน ปัญหาในกระบวนการยืนยันอีเมลของ Lenovo เปิดทางให้ผู้ไม่หวังดีลงทะเบียน Lenovo ID โดยใช้อีเมลของบุคคลอื่นได้ จากนั้นจึงใช้ Lenovo ID ที่สร้างขึ้นโดยทุจริตนั้นเข้าสู่บัญชี Dropbox ที่ผูกกับอีเมลเดียวกัน โดยไม่ต้องกรอกรหัสผ่าน Dropbox ของเจ้าของบัญชี 2

กล่าวโดยสรุป จุดอ่อนอยู่ที่ความเชื่อมโยงด้านการยืนยันตัวตนระหว่างสองระบบ เส้นทาง Lenovo ID แบบเดิมสามารถใช้รับรองตัวตนเพื่อเข้า Dropbox ได้ ขณะที่บัญชีดังกล่าวไม่มีชั้นป้องกันที่สองของ Dropbox 26

Dropbox ดำเนินการอะไรแล้ว

หลังพบกิจกรรมผิดปกติ Dropbox ระบุว่าได้ดำเนินการหลายอย่าง ได้แก่

• ยุติเซสชันทั้งหมดที่ยืนยันตัวตนผ่าน Lenovo ID 46
• ลบหรือปิดการเชื่อมโยงระหว่าง Lenovo ID กับบัญชี Dropbox 46
• แจ้งผู้ใช้ที่ได้รับผลกระทบ 15
• ปรับขั้นตอนการเข้าสู่ระบบและเชื่อมบัญชี โดยกำหนดให้ผู้ใช้ต้องกรอกรหัสผ่าน Dropbox ก่อนใช้เส้นทาง Lenovo ID 6

มาตรการเหล่านี้มีเป้าหมายเพื่อปิดช่องทางยืนยันตัวตนเฉพาะที่ถูกใช้ในเหตุการณ์ครั้งนี้

Lenovo ถูกเจาะระบบด้วยหรือไม่

Lenovo ระบุว่าได้ตรวจพบการเชื่อมต่อแบบเดิมที่เกี่ยวข้องและแก้ไขปัญหาแล้ว พร้อมยืนยันว่าลูกค้าและระบบของ Lenovo เองไม่ได้รับผลกระทบ เหตุการณ์นี้กระทบบัญชี Dropbox ที่ใช้เส้นทางลงชื่อเข้าใช้ผ่าน Lenovo ID 68

จุดนี้ควรแยกให้ชัด: รายงานกล่าวถึงการเข้าถึงบัญชี Dropbox ผ่านการเชื่อมต่อระหว่างสองบริการ ไม่ใช่การบุกรุกบัญชีลูกค้าหรือระบบของ Lenovo ที่มีการรายงานออกมา

การแจ้งหน่วยงานกำกับและปฏิกิริยาตลาด

Dropbox แจ้ง Reuters ว่าได้แจ้งหน่วยงานคุ้มครองข้อมูลแล้ว แต่รายงานที่มีอยู่ยังไม่ได้ระบุชื่อหน่วยงานหรือเขตอำนาจที่ได้รับการแจ้ง 15

หลังมีการเปิดเผยเหตุการณ์ หุ้น Dropbox ก็ปรับลดลงในการซื้อขายนอกเวลาทำการ ตามรายงานตลาดในเวลานั้น 12

บทเรียนสำคัญสำหรับผู้ใช้

เหตุการณ์นี้สะท้อนความเสี่ยงของการเชื่อมระบบล็อกอินกับผู้ให้บริการภายนอก หากทุกขั้นตอนของการยืนยันตัวตนไม่ได้มีระดับการป้องกันเทียบเท่ากัน ในกรณีนี้ ปัญหาการยืนยันอีเมลประกอบกับการไม่ได้เปิด 2FA ของ Dropbox ทำให้ช่องทางล็อกอินเดิมกลายเป็นจุดเสี่ยง 26

สำหรับผู้ใช้ที่สงสัยว่าตนได้รับผลกระทบหรือไม่ อีเมลแจ้งเตือนจาก Dropbox เป็นข้อมูลโดยตรงที่สุด ส่วนในภาพรวม เหตุการณ์นี้ตอกย้ำว่าช่องทางล็อกอินที่เชื่อมกับบริการอื่นควรได้รับการตรวจสอบความปลอดภัยอย่างเข้มงวดไม่ต่างจากการใช้รหัสผ่านและการยืนยันตัวตนสองชั้นโดยตรง.