Dropbox 2026年8月安全事件：约5000个账户受影响，问题出在联想 ID 登录链路

发生了什么？

Dropbox 披露，2026年8月4日至8月21日期间，未经授权的一方访问了约5000个用户账户。这起事件与部分 Dropbox 账户使用的旧版联想 ID 身份验证关联有关；现有信息并不表明联想自身的客户系统遭到入侵。16

攻击者看到了哪些内容？

Dropbox 称，攻击者在受影响账户中查看或下载了少于三分之一账户内的文件。按约5000个账户计算，这意味着涉及文件访问的账户少于约1700个；相关报道通常将其概括为约1500个。568

这并不代表所有被访问的账户都有文件被查看或下载，现有报道也未说明涉及了哪些类型的文件。

漏洞是如何被利用的？

受影响的 Dropbox 账户有两个共同点：账户关联了联想 ID，且没有启用 Dropbox 的双重验证（2FA）。14

据 BleepingComputer 援引 Dropbox 向受影响用户发送的通知，联想邮箱验证流程存在问题，使未授权方能够用他人的邮箱地址注册联想 ID。攻击者随后可借助这个虚假联想 ID，访问注册在同一邮箱地址下的 Dropbox 账户，无需输入受害者的 Dropbox 密码。2

问题的核心在于两套身份系统之间的信任链：旧版联想 ID 路径可以为已关联的 Dropbox 账户完成验证，而这些账户的 Dropbox 侧又没有第二重验证保护。26

Dropbox 已采取哪些措施？

在发现异常活动后，Dropbox 已：

• 终止所有通过联想 ID 完成身份验证的会话；46
• 移除或禁用联想 ID 与 Dropbox 账户之间的关联；46
• 通知受影响用户；15
• 调整登录和关联流程，要求用户在使用联想 ID 路径前输入 Dropbox 密码。6

这些措施旨在封堵本次事件所利用的特定认证路径。

联想本身被攻破了吗？

联想表示，已识别并处理相关的旧版集成问题；其称自身客户和系统未受影响。本次事件影响的是通过联想 ID 登录路径关联的 Dropbox 账户。68

换句话说，已报道的受损对象是经由这项集成被认证进入的 Dropbox 账户，并非有报道称攻击者侵入了联想客户账户或其系统。

监管通知与市场反应

Dropbox 向路透社表示，已就该事件通知数据保护监管机构，但现有报道未披露具体通知了哪些司法辖区或监管部门。15

消息披露后，Dropbox 股价在盘后交易中下跌。12

对用户意味着什么？

这起事件说明，第三方登录或单点登录（SSO）并不只是“更方便的登录按钮”。只要身份验证链条中有一环的保护强度不足，就可能绕过用户以为已经存在的账户防线。本案中，邮箱验证问题与 Dropbox 双重验证未启用叠加，暴露了旧版登录路径。26

对可能受影响的用户而言，Dropbox 发出的通知是确认账户是否涉入、以及应采取何种补救措施的最直接依据。更普遍的教训是：关联登录方式也应接受与“密码加双重验证”同等严格的安全审视。