セキュリティ
クラウドストレージ大手、旧式の連携機能を停止し被害者に認証情報のリセットを呼びかけ
人気記事
Dropboxは、レガシーなLenovoログイン連携機能の悪用によりアカウントが侵害されたとして、約5,000人のユーザーに警告を発しました。
影響を受けた顧客に送付されたメールの中で、このクラウドストレージ企業は、Lenovo IDを使ってDropboxにアクセスできる連携機能を攻撃者が悪用したと説明しています。
Dropboxは「Lenovoのメール認証プロセスの問題」が原因だとしており、これにより攻撃者はDropboxユーザーのメールアドレスを使ってLenovo IDを登録し、対応するストレージアカウントにアクセスできてしまったとしています。
この連携機能がなぜユーザーにDropboxのパスワード入力を求めることなくアクセスを許可していたのかについては、説明がありませんでした。
この侵害は8月4日から21日にかけて発生していました。DropboxはBloombergに対し、影響を受けたユーザーのうち3分の1未満のファイルに攻撃者がアクセスしたと語っています。
ビットコインセキュリティ企業Casaの共同創業者であるJameson Lopp氏によれば、攻撃者は同氏のファイルのうち「IMPORTANT.rtf」というファイル1件にのみアクセスを試みたものの、これはDropboxにアップロードする前にローカルで暗号化されていたとのことです。時にはオタクであることが報われるものです。
Dropboxは今回の攻撃の規模についてReutersに確認し、影響を受けたアカウントはいずれも二要素認証(2FA)を有効にしていなかったと述べています。
侵害の発覚後、Dropboxは「Lenovo IDを通じてログインしていたすべてのセッションを直ちに失効させた」うえで、影響を受けたアカウントとLenovoとの「連携をすべて切り離した」としています。
同社はメールの中で、影響を受けたユーザーに対しDropboxおよび個人用メールのパスワードを変更し、2FAを有効にするよう呼びかけています。
LenovoはReutersに対し、自社の顧客に影響はなく、調査は継続中だと述べています。
The RegisterはDropboxとLenovoの両社に詳細情報を求めています。®
