Dropboxは、Lenovoのメール確認プロセスにあった欠陥を悪用され、一部ユーザーのアカウントが不正なLenovo IDの登録を通じて第三者に侵害されたとして、該当ユーザーに警告を発しています。
被害に遭ったユーザーの中にはLenovoアカウントを持っていない人も含まれていましたが、このクラウドストレージサービスは認証基盤の一部としてLenovo Identity Provider Servicesを利用しており、これによりユーザーは検証済みのLenovo IDを使ってDropboxアカウントにログインできる仕組みになっています。
影響を受けたユーザーに送付された通知によれば、今回の不正アクセスは「Lenovoのメール確認プロセスにあった問題」が原因で、これにより「第三者が該当ユーザーのメールアドレスを使ってLenovo IDを登録できる状態になっていた」とのことです。
攻撃者はその不正に登録したLenovo IDを使い、同じメールアドレスで登録されているDropboxアカウントに、ログインパスワードを必要とすることなくアクセスしていました。
Dropboxのアイデンティティ連携プロセスは、攻撃者がそのメールアドレスを管理しているというLenovo側の申告をそのまま信頼しており、Dropbox既存のログイン手段による確認を求めていませんでした。
「お客様がLenovo IDをお持ちでない場合でも、当社の調査により、Lenovoのメール確認プロセスの問題によって第三者がお客様のメールアドレスを使ってLenovo IDを登録し、そのLenovo IDを用いて当該メールアドレスに紐づくDropboxアカウントにログインできる状態になっていたことが判明しました」
一部のDropboxユーザーは「約2週間前」にDropboxへの不審なサインインに関する通知を受け取ったとし、直ちにパスワードを変更し、二要素認証(2FA)を有効化したと報告しています。
ユーザーのxaphod氏は次のように述べています。「当時、一つ奇妙な点がありました。自分はLenovo IDを作成した覚えがないのに、Dropboxのログインページに自分のメールアドレス向けの『Continue with SSO』という選択肢が表示されるようになっていたのです」
このクラウドストレージ企業の調査により、攻撃者が8月4日から21日の間にユーザーのDropboxアカウントにアクセスしていたことが判明しています。
BleepingComputerへの声明の中で、Lenovoはこの問題について、Lenovo IDとDropboxの間にあるレガシーな連携に関わるものであり、これが「特定のDropboxアカウントへの不正な認証」に悪用され得る状態だったと説明しました。
「問題を特定した後、DropboxとLenovoは協力して速やかにリスクの低減に取り組みました」とLenovoの広報担当者はBleepingComputerに語っています。
この事案に関する調査は現在も続いていますが、同社はLenovoの顧客はこの問題の影響を受けていないと判断しています。
Dropboxはこれを受け、Lenovo ID経由で認証された全セッションを失効させるとともに、Lenovo ID認証を利用しようとする際にDropboxアカウントのパスワード入力を必須とする新たなログイン要件を追加しました。
Reutersによれば、およそ5,000件のアカウントが不正アクセスを受け、攻撃者は一部ユーザーのコンテンツを閲覧・ダウンロードしていました。BleepingComputerはさらなる情報を求めてDropboxに問い合わせていますが、本記事の公開時点では回答は得られていません。
