Der Cloud-Speicherdienst Dropbox hat mehreren Nutzern eine E-Mail-Benachrichtigung gesendet, in der darauf hingewiesen wird, dass ihre Konten zwischen dem 4. August 2026 und dem 21. August 2026 unbefugt zugegriffen wurden. Der Inhalt der E-Mail zeigt, dass in den Unternehmensunterlagen keine Beweise dafür vorliegen, dass die betreffenden Dateien angesehen oder heruntergeladen wurden, dennoch wird den betroffenen Nutzern der Vorfall, die aktuellen Maßnahmen und empfohlene zusätzliche Sicherheitsmaßnahmen erläutert.
Ursache des Vorfalls war eine Sicherheitsanfälligkeit im Authentifizierungsprozess des Drittanbieters Lenovo. Dropbox hat eine Partnerschaft mit Lenovo, die es Nutzern ermöglicht, sich über eine verifizierte Lenovo-ID in ihr Dropbox-Konto einzuloggen. Angreifer nutzten die Schwäche im E-Mail-Verifizierungsprozess von Lenovo aus, um mit der E-Mail-Adresse des Opfers eine neue Lenovo-ID zu registrieren und sich dann direkt mit dieser ID in das Dropbox-Konto einzuloggen, das mit dieser E-Mail-Adresse verknüpft ist, ohne dass das Passwort des Nutzers erforderlich war.
Der Angriffsprozess umfasst vier Schlüsselphasen
Laut der von The CyberSec Guru veröffentlichten Analyse des Vorfalls kann die gesamte Angriffs-Kette in vier Phasen unterteilt werden. Zunächst sammelten die Angreifer E-Mail-Adressen von Zielen aus öffentlich zugänglichen Quellen wie geleakten Datenbanken, LinkedIn oder Kundenlisten. Anschließend registrierten sie ohne Zugriff auf das E-Mail-Postfach des Opfers eine neue Lenovo-ID mit der Zieladresse und setzten den Anzeigenamen auf eine wegwerfbare Zeichenfolge, wie zum Beispiel den verstorbenen NFL-Kommentator „John Madden“, was zeigt, dass der Angriff eine groß angelegte, kostengünstige automatisierte Operation war.
In der dritten Phase wählten die Angreifer auf der Dropbox-Anmeldeseite die Option „Continue with Lenovo“, woraufhin der Lenovo-Autorisierungsserver ein Token mit dem gleichen E-Mail-Feld wie das des Opfers ausstellte. Schließlich verknüpfte das Dropbox-System basierend auf diesem E-Mail-Feld das Token mit dem bestehenden Konto und erstellte eine Anmeldesitzung, ohne dass eine Passwortüberprüfung oder eine Erhöhung der Berechtigungen erforderlich war, und es gab auch keine Bestätigungsmeldung wie „Möchten Sie diese neue Identität verknüpfen?“. Aus der Sicht von Dropbox wurde das Token direkt akzeptiert, da der vertrauenswürdige Identitätsanbieter für diese E-Mail-Adresse eine Garantie gegeben hatte.
Die Schwachstelle liegt im Fehlen eines Identitätsbindungsbestätigungsmechanismus bei Dropbox
Obwohl Lenovo im E-Mail-Verifizierungsprozess Fehler gemacht hat, hätte der Vorfall vermieden werden können, wenn Dropbox vor der Erstellung eines Single-Sign-On-Links die Nutzer aufgefordert hätte, die neue Identität über die bestehende Anmeldemethode zu verifizieren. Das Dropbox-System hat die Identität des Drittanbieters direkt mit dem bestehenden Konto verknüpft, ohne eine Bestätigung des Nutzers, was ein schwerwiegendes Designversagen darstellt. Das Unternehmen hat die betreffende Schwachstelle inzwischen behoben und alle Sitzungen, die über Lenovo-ID authentifiziert wurden, vollständig zurückgezogen.