Sự cố Dropbox tháng 8/2026: khoảng 5.000 tài khoản bị truy cập qua lỗ hổng Lenovo ID

Dropbox cho biết một bên không được phép đã truy cập khoảng 5.000 tài khoản người dùng trong thời gian từ ngày 4 đến 21/8/2026. Vụ việc liên quan đến một cơ chế xác thực cũ giữa Lenovo ID và Dropbox dành cho một số tài khoản, chứ không được mô tả là vụ xâm nhập vào hệ thống khách hàng của Lenovo. 16

Tin tặc đã truy cập những gì?

Dropbox cho biết đối tượng tấn công đã xem hoặc tải xuống tệp trong chưa đến một phần ba trong số khoảng 5.000 tài khoản bị ảnh hưởng. Tức là số tài khoản có tệp bị truy cập ít hơn khoảng 1.700; các bản tin thường ước tính vào khoảng 1.500 tài khoản. 568

Thông tin công bố không cho thấy tệp đã bị truy cập trong toàn bộ 5.000 tài khoản. Các báo cáo hiện có cũng không nêu loại tệp cụ thể mà tin tặc đã xem hoặc tải xuống.

Lỗ hổng ở đường đăng nhập Lenovo ID bị khai thác ra sao?

Các tài khoản Dropbox bị ảnh hưởng có hai điểm chung: đã liên kết với Lenovo ID và chưa bật xác thực hai yếu tố (2FA) của Dropbox. 14

Theo thông báo Dropbox gửi người dùng bị ảnh hưởng và được BleepingComputer dẫn lại, một vấn đề trong quy trình xác minh email của Lenovo cho phép bên không được phép đăng ký Lenovo ID bằng địa chỉ email của người khác. Sau đó, kẻ tấn công có thể dùng Lenovo ID giả mạo này để vào tài khoản Dropbox đăng ký bằng cùng địa chỉ email mà không cần nhập mật khẩu Dropbox của nạn nhân. 2

Nói cách khác, điểm yếu nằm ở mối quan hệ tin cậy giữa hai hệ thống định danh. Đường đăng nhập Lenovo ID cũ có thể xác thực tài khoản Dropbox đã liên kết, trong khi các tài khoản này không có lớp xác minh thứ hai. 26

Dropbox đã xử lý thế nào?

Sau khi phát hiện hoạt động bất thường, Dropbox đã:

• Chấm dứt các phiên đăng nhập được xác thực qua Lenovo ID. 46
• Gỡ hoặc vô hiệu hóa liên kết giữa Lenovo ID và tài khoản Dropbox. 46
• Thông báo cho người dùng bị ảnh hưởng. 15
• Thay đổi quy trình đăng nhập/liên kết để người dùng phải nhập mật khẩu Dropbox trước khi sử dụng đường Lenovo ID. 6

Các biện pháp này nhằm đóng chính con đường xác thực đã bị lợi dụng trong vụ việc.

Lenovo có bị xâm nhập hay khách hàng Lenovo có bị ảnh hưởng không?

Lenovo cho biết họ đã xác định cơ chế tích hợp cũ liên quan và xử lý vấn đề. Công ty nói khách hàng và hệ thống riêng của Lenovo không bị ảnh hưởng; sự cố tác động đến các tài khoản Dropbox sử dụng đường đăng nhập Lenovo ID. 68

Đây là khác biệt quan trọng: thông tin được công bố nói về việc tài khoản Dropbox bị truy cập thông qua tích hợp này, không phải một vụ xâm nhập được báo cáo vào tài khoản khách hàng hay hệ thống của Lenovo.

Phản ứng của cơ quan quản lý và thị trường

Dropbox nói với Reuters rằng họ đã thông báo cho các cơ quan bảo vệ dữ liệu, nhưng các báo cáo hiện có không nêu cơ quan hoặc khu vực pháp lý cụ thể. 15

Theo các bản tin thị trường cùng thời điểm, cổ phiếu Dropbox cũng giảm trong giao dịch ngoài giờ sau khi thông tin về sự cố được công bố. 12

Điều người dùng cần rút ra

Sự cố cho thấy rủi ro của việc để một dịch vụ định danh bên thứ ba xác thực tài khoản mà không có mức bảo vệ tương đương ở mọi khâu. Trong trường hợp này, vấn đề xác minh email kết hợp với việc không bật 2FA trên Dropbox đã làm lộ một đường đăng nhập cũ. 26

Với người dùng có thể bị ảnh hưởng, thông báo trực tiếp từ Dropbox là căn cứ rõ nhất để xác định tài khoản có liên quan hay không và cần thực hiện biện pháp khắc phục nào. Bài học rộng hơn là các phương thức đăng nhập liên kết cũng cần được bảo vệ và rà soát kỹ như quy trình dùng mật khẩu cùng xác thực hai yếu tố.