Dropbox-Datenverstoß betrifft 5.000 Nutzer durch Lenovo-ID-Schwachstelle

Ein Dropbox-Datenverstoß betraf rund 5.000 Nutzer, nachdem Angreifer eine Authentifizierungsschwachstelle bei Lenovo ID ausgenutzt hatten, um mit nur den E-Mail-Adressen der Opfer auf Konten zuzugreifen.

Dropbox teilte mit, dass die Aktivitäten vom 4. bis 21. August liefen. Die Angreifer erstellten Lenovo IDs mit den E-Mail-Adressen der Opfer und verknüpften diese Identitäten anschließend mit bestehenden Dropbox-Konten.

Lenovo-ID-Schwachstelle umging Passwortanmeldungen

Dropbox ermöglicht Kunden, verifizierte Lenovo IDs als Identitätsanbieter für Kontoanmeldungen zu verwenden.

Angreifer missbrauchten eine Schwachstelle, die es ihnen erlaubte, Lenovo IDs für E-Mail-Adressen zu registrieren, ohne nachzuweisen, dass sie die Postfächer kontrollierten. Anschließend konnten sie die neu erstellte Lenovo-Identität nutzen, um eine Dropbox-Sitzung zu starten.

Für den Angriff mussten die Angreifer keine Passwörter stehlen, keine Verschlüsselung überwinden und keine Speichersysteme von Dropbox kompromittieren.

Die Opfer mussten keine bestehende Lenovo ID besitzen. Die meisten betroffenen Dropbox-Konten nutzten keine Zwei-Faktor-Authentifizierung.

Dateien wurden möglicherweise angesehen oder heruntergeladen

Dropbox teilte mit, dass etwa ein Drittel der kompromittierten Konten Anzeichen dafür zeigt, dass Angreifer Dateien angesehen oder heruntergeladen haben.

Das Unternehmen kann die Auswirkungen nicht allein anhand von Aktivitätsprotokollen vollständig bestimmen. Einige betroffene Nutzer könnten sensible Dokumente, darunter Steuerunterlagen, Finanzunterlagen oder Identitätsinformationen, in ihren Konten gespeichert haben.

Nutzer begannen Mitte August, unerwartete Dropbox-Warnungen über Anmeldungen zu melden. Einige erhielten außerdem Lenovo-Bestätigungscodes, die sie nicht angefordert hatten.

In mehreren Fällen erstellten Angreifer unbefugte Lenovo-Profile mit den E-Mail-Adressen der Opfer und Wegwerfnamen.

Dropbox setzt betroffene Kontoverknüpfungen zurück

Dropbox teilte mit, dass das Unternehmen Sitzungen, die Lenovo IDs nutzten, abgelaufen ließ und die Verknüpfung zwischen Lenovo und betroffenen Dropbox-Konten entfernte.

Das Unternehmen änderte auch seinen Anmeldeprozess. Nutzer müssen nun ihr Dropbox-Passwort eingeben, bevor sie sich mit einer Lenovo ID anmelden.

Dropbox rät betroffenen Nutzern, ihre Dropbox-Passwörter und E-Mail-Passwörter zu ändern. Das Unternehmen empfiehlt außerdem, die Zwei-Schritt-Verifizierung zu aktivieren, um Konten vor weiterem unbefugtem Zugriff zu schützen.