แฮกเกอร์ยึดบัญชี Dropbox ได้อย่างไร ผ่านช่องโหว่ Lenovo ID

เหตุการณ์นี้ไม่ใช่กรณีที่แฮกเกอร์เจาะระบบรหัสผ่านของ Dropbox โดยตรง แต่เป็นการใช้ช่องโหว่ในความเชื่อมโยงระหว่าง Lenovo ID กับ Dropbox ซึ่งเป็นระบบล็อกอินแบบ Single Sign-On (SSO) ที่ให้ผู้ใช้ลงชื่อเข้าใช้บริการหนึ่งผ่านบัญชีของอีกบริการหนึ่ง

Dropbox ระบุว่า มีบัญชีราว 5,000 บัญชีถูกเข้าถึงโดยไม่ได้รับอนุญาตในช่วงวันที่ 4–21 สิงหาคม 2026 โดยไฟล์ถูกเปิดดูหรือดาวน์โหลดใน ไม่ถึงหนึ่งในสาม ของบัญชีที่ได้รับผลกระทบ 146

แฮกเกอร์เข้าบัญชี Dropbox ได้อย่างไร

ลำดับการโจมตีที่ปรากฏจากรายงานมีอยู่ 3 ขั้นตอนหลัก

1. ผู้โจมตีสร้าง Lenovo ID โดยใช้อีเมลของบุคคลอื่น
2. ข้อบกพร่องในกระบวนการยืนยันอีเมลของ Lenovo ทำให้บัญชีนั้นดูเหมือนผ่านการยืนยันแล้ว ทั้งที่ผู้โจมตีไม่ได้ควบคุมกล่องอีเมล
3. ระบบ SSO รุ่นเก่าของ Dropbox จับคู่ที่อยู่อีเมลในข้อมูลยืนยันตัวตนจาก Lenovo กับบัญชี Dropbox ที่มีอยู่ และอนุญาตให้เข้าสู่ระบบโดยไม่ต้องใช้รหัสผ่าน Dropbox เดิม 3511

พูดง่าย ๆ คือ ผู้โจมตีไม่ได้ขโมยรหัสผ่านและไม่จำเป็นต้องเข้ากล่องอีเมลของเหยื่อ แต่ใช้ประโยชน์จาก “ความไว้ใจระหว่างระบบ” โดย Dropbox เชื่อว่าข้อมูลตัวตนจาก Lenovo ถูกต้อง ขณะที่ Lenovo อนุญาตให้สร้างตัวตนโดยยังพิสูจน์ความเป็นเจ้าของอีเมลไม่เพียงพอ

ทำไมบัญชีที่ไม่เปิดใช้ MFA จึงตกเป็นเป้าหมาย

บัญชีที่ได้รับผลกระทบเป็นบัญชีที่เชื่อมโยงกับ Lenovo ID แต่ไม่ได้เปิดใช้การยืนยันตัวตนหลายปัจจัย หรือ MFA ของ Dropbox 11012

ในกระบวนการล็อกอินผ่านผู้ให้บริการภายนอก การยืนยันตัวตนที่ Lenovo อาจทำให้ Dropbox สร้างเซสชันให้ผู้ใช้ได้ หากบัญชี Dropbox เปิดใช้ MFA ระบบจะมีขั้นตอนยืนยันเพิ่มเติมที่ควบคุมโดย Dropbox เอง ทำให้ Lenovo ID ปลอมเพียงอย่างเดียวไม่เพียงพอสำหรับการเข้าสู่บัญชี

ดังนั้น เหตุการณ์นี้สะท้อนว่าบัญชีที่ไม่มี MFA มีความเสี่ยงสูงกว่า ไม่ได้หมายความว่าแฮกเกอร์สามารถข้าม MFA ของ Dropbox ได้ 1015

แฮกเกอร์เข้าถึงข้อมูลอะไรบ้าง

Dropbox ระบุว่า ผู้โจมตีเปิดดูและดาวน์โหลดเนื้อหาที่เก็บไว้ในบัญชีที่ได้รับผลกระทบ แต่รายงานข่าวระบุว่าไฟล์ถูกเข้าถึงในไม่ถึงหนึ่งในสามของบัญชีประมาณ 5,000 บัญชี 145

ข้อมูลที่เปิดเผยต่อสาธารณะยังไม่ระบุว่าไฟล์ประเภทใดได้รับผลกระทบเป็นหลัก มีการดาวน์โหลดรวมเท่าใด หรือข้อมูลของผู้เสียหายมีระดับความอ่อนไหวเหมือนกันหรือไม่ ขณะเดียวกัน ผู้ใช้บางรายได้รับแจ้งจาก Dropbox ว่าพบบันทึกการเข้าถึงบัญชีโดยไม่ได้รับอนุญาต แต่ยังไม่พบหลักฐานว่าไฟล์ถูกเปิดดูหรือดาวน์โหลด 2

ผู้ใช้และนักวิจัยพบอะไร

ผู้ใช้บางรายพบ Lenovo ID ที่ไม่คุ้นเคยเชื่อมโยงกับที่อยู่อีเมลของตนเอง ด้านนักวิจัยความปลอดภัย Yoni Levy ได้เผยแพร่สำเนาการแจ้งเตือนจาก Dropbox ซึ่งระบุช่วงเวลาการเข้าถึงบัญชีโดยไม่ได้รับอนุญาตระหว่างวันที่ 4–21 สิงหาคม และชี้ไปที่ปัญหา Lenovo SSO 23

รายงานบางส่วนยังกล่าวถึงกิจกรรมการเข้าสู่ระบบที่เกี่ยวข้องกับเมืองดับลิน อย่างไรก็ตาม ข้อมูลดังกล่าวสอดคล้องกับความเป็นไปได้ที่บัญชีตัวตนปลอมของผู้ให้บริการภายนอกถูกใช้เป็นช่องทางเริ่มต้น แต่ไม่ได้พิสูจน์ว่าผู้โจมตีทุกคนอยู่ที่ใด หรือบัญชีที่ได้รับผลกระทบทั้งหมดถูกโจมตีด้วยขั้นตอนเหมือนกัน

Dropbox แจ้งผู้ใช้และหน่วยงานกำกับดูแลเมื่อใด

Dropbox เริ่มแจ้งผู้ใช้ที่ได้รับผลกระทบราววันที่ 31 สิงหาคมถึง 1 กันยายน 2026 หลังตรวจพบการเข้าถึงโดยไม่ได้รับอนุญาต และบริษัทระบุว่าได้แจ้งหน่วยงานกำกับดูแลด้านการคุ้มครองข้อมูลแล้ว 346

มาตรการตอบสนองที่มีรายงาน ได้แก่

• ยุติเซสชันที่ได้รับผลกระทบ
• ลบหรือยกเลิกการเชื่อมโยงบัญชี Lenovo ID กับ Dropbox
• แนะนำให้ผู้ใช้เปลี่ยนรหัสผ่านและเปิดใช้การยืนยันตัวตนแบบสองขั้นตอน
• จำกัดหรือเพิ่มมาตรการป้องกันให้กับช่องทางล็อกอินที่เกี่ยวข้อง 101230

ความรับผิดชอบอยู่ที่ Dropbox หรือ Lenovo

กรณีนี้มีลักษณะเป็นความล้มเหลวของระบบที่เชื่อมต่อกัน ไม่ใช่การเจาะระบบของบริษัทใดบริษัทหนึ่งแบบแยกขาด

• จุดบกพร่องของ Lenovo: ระบบยืนยันตัวตนรุ่นเก่าถูกกล่าวว่ายอมให้ผู้โจมตีสร้าง Lenovo ID โดยใช้อีเมลที่ตนเองไม่ได้ควบคุม ปัญหาหลักคือการพิสูจน์ความเป็นเจ้าของอีเมลไม่เพียงพอ 3512
• จุดบกพร่องของ Dropbox: Dropbox ยอมรับข้อมูลยืนยันตัวตนจาก Lenovo ว่าเพียงพอสำหรับการเชื่อมโยงหรือเข้าสู่บัญชี Dropbox เดิม โดยไม่ขอรหัสผ่านเดิม การเข้าสู่ระบบซ้ำ หรือขั้นตอนยืนยันบัญชีที่รัดกุมกว่า 3911
• การตอบสนองของทั้งสองบริษัท: Lenovo ระบุว่าปัญหาเกี่ยวข้องกับการเชื่อมต่อระบบรุ่นเก่าและได้แก้ไขประเด็นการยืนยันที่เกี่ยวข้องแล้ว ขณะที่ Dropbox ระบุว่าตรวจพบและแก้ไขปัญหา ยุติเซสชัน ปรับเปลี่ยนการเชื่อมต่อ และแจ้งผู้ใช้กับหน่วยงานกำกับดูแล 101214

ความแตกต่างนี้สำคัญ เพราะช่องโหว่ของ Lenovo ทำให้เกิด “ตัวตนปลอม” แต่ตรรกะการเชื่อมโยงบัญชีของ Dropbox เป็นตัวตัดสินว่าตัวตนปลอมนั้นจะใช้เปิดบัญชีคลาวด์เดิมได้หรือไม่

หุ้น Dropbox ร่วงเท่าไร

หลังข่าวการเปิดเผยเหตุการณ์ หุ้น Dropbox ปรับตัวลงในการซื้อขายนอกเวลาปกติ แต่รายงานที่มีอยู่ให้ตัวเลขแตกต่างกัน

รายงาน Reuters ที่สื่อหลายแห่งอ้างระบุว่าหุ้นลดลงราว 2.4% ในการซื้อขายนอกเวลา ขณะที่ Investing.com รายงานการลดลง 1.8% 69 อีกแหล่งหนึ่งระบุว่าหุ้นลดลงมากกว่า 6% 8 แต่ยังไม่มีหลักฐานจากข้อมูลที่ให้มาซึ่งยืนยันตัวเลขเฉพาะ 6.6% ได้ ตัวเลขดังกล่าวอาจอ้างอิงช่วงเวลาหรือจุดเปรียบเทียบของตลาดคนละแบบ

บทเรียนใหญ่จากระบบ Federated Identity

ที่อยู่อีเมลเป็นเพียงตัวระบุบุคคล ไม่ใช่หลักฐานโดยอัตโนมัติว่าผู้ที่แสดงอีเมลดังกล่าวควบคุมกล่องจดหมายนั้น หรือเป็นเจ้าของบัญชีที่เชื่อมโยงกับอีเมล

ระบบล็อกอินแบบ Federated Identity ช่วยให้ผู้ใช้เข้าใช้หลายบริการได้สะดวกขึ้น แต่ความสะดวกนี้กลายเป็นความเสี่ยงเมื่อบริการปลายทาง

• เชื่อข้อมูลอีเมลจากผู้ให้บริการยืนยันตัวตนโดยไม่ตรวจสอบซ้ำ
• เชื่อมตัวตนจากบริการภายนอกเข้ากับบัญชีเดิมโดยอัตโนมัติ
• ข้ามรหัสผ่าน MFA หรือช่องทางกู้คืนบัญชีที่ผ่านการยืนยันแล้ว
• มองการเปลี่ยนแปลงการเชื่อมโยงบัญชีเป็นเพียงการล็อกอินทั่วไป แทนที่จะเป็นเหตุการณ์ความเสี่ยงสูง

การออกแบบที่ปลอดภัยกว่าควรขอหลักฐานจากเจ้าของบัญชีเดิมอย่างชัดเจนก่อนผูกผู้ให้บริการตัวตนรายใหม่ เช่น ให้เข้าสู่ระบบซ้ำ ใช้ช่องทางกู้คืนที่ยืนยันแล้ว หรือใช้การยืนยันตัวตนที่ต้านทานฟิชชิงได้

เหตุการณ์ Dropbox–Lenovo แสดงให้เห็นว่า การตรวจสอบความน่าเชื่อถือของผู้ให้บริการตัวตนและขั้นตอนการเชื่อมโยงบัญชีมีความสำคัญไม่แพ้การป้องกันรหัสผ่าน เพราะช่องโหว่ในระบบหนึ่งอาจกลายเป็นประตูเข้าสู่บัญชีสำคัญในอีกระบบได้