O AGENTICO
Dropbox confirma ataque via falha de autenticação da Lenovo em 5 mil contas
4 fontesdesde 01 de setembro de 20265 artigos
O Dropbox confirmou que cerca de 5 mil contas foram comprometidas após atacantes explorarem uma falha no processo de verificação de e-mail da Lenovo, usada como provedor de identidade. A empresa encerrou sessões vinculadas a IDs da Lenovo e removeu as conexões, mas especialistas apontam que a própria Dropbox falhou ao não exigir autenticação adicional ao criar a opção de login único.
Resumo
Cerca de 5 mil contas do Dropbox foram comprometidas em um ataque entre 4 e 21 de agosto.
O número de contas afetadas é relevante para dimensionar o impacto do incidente de segurança.
O Dropbox atribuiu o ataque a uma falha no processo de verificação de e-mail da Lenovo, usada como provedor de identidade.
A causa apontada é essencial para entender como os invasores obtiveram acesso não autorizado.
Arquivos foram acessados em menos de um terço das contas comprometidas.
Indica que nem todas as contas afetadas tiveram dados extraídos, o que pode limitar o dano.
As ações do Dropbox caíram cerca de 2,4% após o anúncio do ataque.
A reação do mercado mostra o impacto financeiro imediato do incidente de segurança.
O Dropbox encerrou todas as sessões de acesso feitas por meio de ID da Lenovo e removeu as conexões entre os IDs e as contas.
Medidas corretivas foram tomadas para evitar novos acessos não autorizados pela via explorada.
Especialistas apontam que o Dropbox falhou ao não exigir autenticação adicional quando atacantes criaram uma opção de login único via terceiros, além da falha na verificação de e-mail da Lenovo.
Isso revela uma vulnerabilidade no processo do próprio Dropbox, não apenas na Lenovo, ampliando a responsabilidade pelo incidente.
O ataque afetou contas do Dropbox sem autenticação em duas etapas ativada, conforme informou a empresa à Reuters.
A ausência de 2FA facilitou o acesso não autorizado, destacando a importância da segurança adicional.
Após o incidente, o Dropbox alterou seus sistemas para exigir que os usuários informem a senha do Dropbox antes de acessar uma conta por meio da Lenovo.
Essa mudança visa impedir que futuros ataques usem apenas um e-mail para acessar contas via provedores de identidade.
Atacantes precisaram apenas de endereços de e-mail das vítimas para criar IDs da Lenovo e acessar as contas do Dropbox.
A simplicidade do ataque mostra o quão crítico é o processo de verificação de identidade em serviços integrados.
Todo dia, só o que dois veículos independentes confirmaram — no seu feed.