- ハッカーがLenovoのメール認証の不備を突き、約5,000件のDropboxアカウントを乗っ取り
- 攻撃者は被害者のメールアドレスでLenovo IDを作成しログインを回避、2FA未設定が被害を拡大
- DropboxはLenovo IDによるログインを終了させ、セッションを失効させた上でパスワード変更と2FA設定を呼びかけ
ハッカーがLenovo ID認証プロセスの脆弱性を見つけたことで、Dropboxユーザーのアカウント約5,000件が侵害されました。「LenovoとDropboxのアカウントに何の関係があるのか」と疑問に思う方もいるでしょう。事の経緯は以下の通りです。
今週初め、Dropboxは影響を受けたユーザーへの通知を開始しました。データ侵害の通知メールで、同社は次のように説明しています。
「Dropboxは、ユーザーが検証済みのLenovo IDを使ってDropboxアカウントにログインできるよう、Lenovoとアイデンティティプロバイダーとして提携しています。お客様がLenovo IDをお持ちでない場合でも、当社の調査により、Lenovoのメール認証プロセスに問題があったため、第三者がお客様のメールアドレスを使ってLenovo IDを登録し、そのLenovo IDを使ってそのメールアドレスに紐づくDropboxアカウントにログインできてしまうことが判明しました」
脆弱性の修正
つまり、犯罪者がこの手口を実行するのに必要だったのは、被害者のメールアドレスだけだったのです。この情報を使ってLenovo IDを作成し、いとも簡単にDropboxアカウントへ入り込んでいました。
同社によると、この攻撃は8月4日から21日にかけて行われ、アクセスされたアカウントの大半では2FA(二要素認証)が有効になっていなかったとのことです。そのうちおよそ3分の1では、保存されていた文書が閲覧または ダウンロードされた形跡があるとしています。
この脆弱性はすでに修正されており、Dropboxユーザーのプライバシーを守るためのさらなる対策も講じられています。同社は「Lenovo ID経由でログインしていたすべてのセッションを速やかに失効させた」とし、LenovoとDropboxアカウントの間の紐付けもすべて解除したと述べています。現在では、Lenovo ID経由でログインする際にパスワードの入力が必須となっています。
「Lenovo IDを使ってDropboxアカウントにアクセスする場合でも、まずDropboxのパスワードを入力しない限り、誰もアクセスできません」と同社は述べています。それでも同社は、ユーザーに対しパスワードの変更、二段階認証の有効化、そしてメールアカウントのパスワード変更を呼びかけています。
「侵害されたアカウントはすべて、多要素認証を設定していませんでした。データを保管するクラウドストレージのアカウントにとって、2026年にもなってこれは弁解の余地のない欠陥であり、LenovoとDropboxがレガシーな連携をどう扱っていたかにかかわらず、ユーザー自身が塞げたはずのギャップです」と、HuntressのEMEA担当vCISO兼サイバーセキュリティアドバイザーであるMuhammad Yahya Patel氏は述べています。
「未検証のまま残されていたサードパーティ製認証経路と、MFAを設定していないアカウントの組み合わせは、事実上『どうぞ侵入してください』と言っているようなものです。ここから得られる実践的な教訓はシンプルで、この事案に限らず広く当てはまります。あらゆる組織、そしてあらゆる個人は、どのサードパーティサービスが自分のアカウントへの認証アクセス権を持っているかを定期的に監査すべきです。OAuthの許可設定、SSO連携、サードパーティのログイン連携は静かに積み重なっていき、それを生み出した関係が終わっても削除されないまま残ることがほとんどです」
