Dropbox 8月帳戶遭未授權存取：約5,000個帳戶受影響，漏洞涉Lenovo ID登入

Dropbox披露，2026年8月4日至8月21日期間，有未經授權人士存取約5,000個用戶帳戶。事件與部分Dropbox帳戶使用的舊有Lenovo ID驗證連結有關，並非指聯想（Lenovo）客戶系統本身遭入侵。16

有咩資料被睇過或下載？

Dropbox表示，攻擊者在少於三分一、即不足約1,700個受影響帳戶中，查看或下載過檔案；報道普遍將數字形容為約1,500個帳戶。568

不過，披露內容並不代表全部約5,000個帳戶的檔案都曾被存取，現有報道亦未有交代涉及的是甚麼類型檔案。

漏洞點樣被利用？

受影響的Dropbox帳戶有兩個共通點：帳戶已連結Lenovo ID，而且沒有啟用Dropbox的雙重驗證（2FA）。14

根據BleepingComputer引述Dropbox向受影響用戶發出的通知，Lenovo的電郵驗證流程存在問題，令未經授權人士可用他人的電郵地址登記Lenovo ID。攻擊者之後可利用該冒充的Lenovo ID，登入以同一電郵地址登記的Dropbox帳戶，毋須輸入受害人的Dropbox密碼。2

簡單講，問題出在兩套身份驗證系統之間的信任連結：這個舊有Lenovo ID登入途徑，可為已連結的Dropbox帳戶完成驗證；而該帳戶又沒有雙重驗證作為第二道防線。26

Dropbox做咗咩補救？

Dropbox確認事件後採取了以下措施：

• 終止所有經Lenovo ID驗證的登入工作階段；46
• 移除或停用Lenovo ID與Dropbox帳戶之間的連結；46
• 通知受影響用戶；15
• 修改登入及連結流程，日後使用Lenovo ID途徑前，須先輸入Dropbox密碼。6

這些措施旨在封堵今次被利用的特定驗證途徑。

Lenovo本身有冇被入侵？

Lenovo表示，已識別並處理相關的舊有整合問題，同時稱其客戶及系統沒有受影響；今次受影響的是使用Lenovo ID登入途徑的Dropbox帳戶。68

換言之，公開資料所描述的是經兩者整合途徑被存取的Dropbox帳戶，而非Lenovo客戶帳戶或其系統遭入侵的報告。

監管通報與股價反應

Dropbox向路透社表示，已就事件通知資料保障監管機構，但現有報道未有列出涉及哪些監管機構或司法管轄區。15

市場方面，披露消息後Dropbox股價在美股收市後交易時段下跌。12

對用戶有咩啟示？

今次事件反映，第三方身份登入一旦可用作帳戶驗證，而整條驗證鏈未有提供同等保護，便會形成風險。這次個案中，電郵驗證問題加上Dropbox帳戶未啟用雙重驗證，讓舊有登入途徑成為缺口。26

若你曾使用Lenovo ID連結Dropbox，最直接的做法是查看Dropbox發出的通知，確認帳戶是否受影響及所需的後續處理。更廣泛而言，所有已連結的登入方式，都應以與密碼加雙重驗證相同的安全標準檢視。