Dropbox hat einen Sicherheitsvorfall bestätigt, bei dem Angreifer über eine Schwachstelle bei Lenovo unbefugt auf rund 5.000 Dropbox-Nutzerkonten zugreifen konnten. Der Zugriff erfolgte zwischen dem 4. und 21. August 2026. Nach Angaben wurden nur etwa 1500 Konten kompromittiert – sie alle haten keine Zwei-Faktor-Authentifizierung aktiviert.
Dropbox beschreibt den Vorgang als Account Takeover über einen externen Identity Provider. Technisch handelte es sich um eine sogenannte „Legacy Integration“: Beim Login über Lenovo ID reichte in bestimmten Konstellationen die Bestätigung der E-Mail-Adresse aus, um Zugang zu erhalten. Eine separate Passwortabfrage bei Dropbox entfiel.
Account Übernahme mit Lenovo-IDs
Die Angreifer nutzten eine Schwachstelle im E-Mail-Verifizierungsprozess von Lenovo ID, um Lenovo-Konten mit fremden E-Mail-Adressen zu registrieren. Über eine veraltete Integration zwischen Lenovo ID und Dropbox konnten sie sich anschließend in Dropbox-Konten einloggen, ohne das eigentliche Dropbox-Passwort zu kennen. Betroffen waren ausschließlich Konten, die keine Zwei-Faktor-Authentifizierung (2FA) aktiviert hatten.
Dropbox hat nach Entdeckung des Vorfalls mehrere Maßnahmen ergriffen:
- Alle über Lenovo ID authentifizierten Sitzungen wurden widerrufen.
- Die Verknüpfung zwischen Lenovo ID und Dropbox-Konten wurde entfernt.
- Zukünftig muss beim Login über Lenovo ID zusätzlich das Dropbox-Passwort eingegeben werden.
- Die betroffenen Nutzer wurden per E-Mail informiert.
- Der Vorfall wurde an die zuständigen Datenschutzbehörden gemeldet.
Lenovo bestätigte die Schwachstelle im eigenen Verifizierungsprozess und bezeichnete die Integration als veraltet. Das Unternehmen betonte jedoch, dass eigene Lenovo-Kunden nicht direkt betroffen seien. Die Sicherheitslücke lag im Prozess zur Registrierung neuer Lenovo IDs, nicht in bestehender Hardware oder Software.
Zwei-Faktor-Authentifizierung bleibt wichtig
Der aktuelle Fall bei Dropbox zeigt, dass eine zwei-Faktor-Authentifizierung das Problem stark eingegrenzt hat. Dennoch ist unklar, wie viele Daten die Angreifer heruntergeladen haben und was sie damit vorhaben. Eventuell landen diese zum Verkauf im Darknet. Viele Attacken auf Cloud-Konten bei bekannten Anbietern zielen aber mehr darauf ab den Speicher für Phishing-Attacken oder Malware zu nutzen, da die Konten weniger Verdacht erwecken.
Mehr bei Dropbox.com