Napadalci so avgusta pridobili nepooblaščen dostop do približno 5.000 uporabniških računov Dropboxa. Pri manj kot tretjini prizadetih računov so si ogledovali ali prenašali shranjene datoteke. Vdor ni bil izveden z ukradenimi gesli, temveč prek napake pri prijavi z uporabniškim računom Lenovo ID.
Nepooblaščeni dostopi so se dogajali med 4. in 21. avgustom. Dropbox je prizadete uporabnike začel obveščati konec meseca, o incidentu pa je obvestil tudi pristojne regulatorje za varstvo podatkov.
Nekateri uporabniki so prejeli obvestilo, da so napadalci njihove datoteke odpirali in prenašali. Drugim je podjetje sporočilo, da so se neznane osebe sicer prijavile v njihov račun, vendar v dnevnikih ni dokazov o dostopu do vsebine.
Napadalci niso potrebovali gesla za Dropbox
Vzrok incidenta je bila pomanjkljivost pri povezovanju računov Dropbox z identiteto Lenovo ID. Uporabniki se lahko v določene storitve prijavijo prek računa drugega ponudnika, ki potrdi njihovo identiteto.
Zaradi napake v postopku preverjanja elektronskega naslova pri družbi Lenovo so lahko napadalci ustvarili Lenovo ID z naslovom, ki je pripadal drugemu uporabniku. Dropbox je nato takšno identiteto sprejel kot veljavno in napadalcu omogočil vstop v račun, povezan z istim elektronskim naslovom.
Napadalcem zato ni bilo treba poznati gesla za Dropbox niti imeti dostopa do elektronskega predala žrtve.
Prizadeti so bili računi, povezani z Lenovo ID, ki niso imeli vključene dvostopenjske oziroma večfaktorske avtentikacije. Ta bi za prijavo zahtevala še dodatno potrditev in bi po navedbah podjetja takšen dostop preprečila.
Lenovo je sporočil, da je šlo za starejšo povezavo med njegovim sistemom prijave in Dropboxom. Družbi sta pomanjkljivost že odpravili, preiskava pa se nadaljuje. Lenovo zatrjuje, da njegovi uporabniki niso bili neposredno prizadeti.
Dropbox prekinil vse prijave prek Lenovo ID
Dropbox je po odkritju incidenta prekinil vse aktivne seje, potrjene prek Lenovo ID, in odstranil obstoječe povezave med računi. Sistem je spremenil tako, da mora uporabnik pri prihodnji prijavi prek Lenovo ID vnesti tudi svoje geslo za Dropbox.
Tiskovni predstavnik podjetja Tim Rathschmidt je pojasnil, da so obvestila prejeli vsi prizadeti uporabniki. Če uporabnik obvestila Dropboxa ni prejel, njegov račun po zagotovilih podjetja ni bil del ugotovljenega incidenta.
Dropbox ne pričakuje, da bo imel dogodek pomembnejše posledice za poslovanje družbe. Kljub temu so delnice podjetja po objavi informacije v podaljšanem trgovanju izgubile do 6,6 odstotka vrednosti, poroča Reuters.
Kaj naj preverijo uporabniki?
Uporabniki naj bodo pozorni na uradno sporočilo Dropboxa ter v nastavitvah preverijo seznam prijavljenih naprav in nedavnih dejavnosti. Če opazijo neznano prijavo, naj nemudoma spremenijo geslo in prekinejo vse aktivne seje.
Najpomembnejši zaščitni ukrep je vključitev dvostopenjske avtentikacije. Priporočljivo je tudi uporabljati edinstveno geslo, ki ni enako geslu za elektronsko pošto ali druge spletne storitve.
