Security Week 2637: взлом Dropbox через Lenovo ID

На прошлой неделе стало известно о массовом взломе учетных записей Dropbox, произошедшем в период с 4 по 21 августа. Причиной инцидента стала критическая уязвимость в системе авторизации Lenovo ID. Ошибка на стороне Lenovo позволяла злоумышленникам регистрировать аккаунты на произвольные адреса электронной почты, что давало им возможность получать доступ к существующим учетным записям Dropbox, привязанным к тем же адресам. В ответ на инцидент компания Dropbox предприняла экстренные меры безопасности: все пользователи, использовавшие Lenovo ID для входа, были принудительно разлогинены. Кроме того, сервис ввел обязательное требование ввода пароля непосредственно для учетной записи Dropbox, чтобы исключить использование уязвимых сторонних методов авторизации. Данный случай подчеркивает риски, связанные с использованием единых систем идентификации для доступа к критически важным облачным сервисам.