Dropboxで発覚、レノボID不備が招いた5,000アカウント侵害

Dropboxは今週、2026年8月4日から8月21日にかけての17日間にわたる侵入によって、約5,000件のユーザーアカウントが攻撃者に侵害されたことを認めました。ファイルが閲覧または download されたのはそのうち3分の1未満にとどまるとしています。

攻撃者は被害者のDropboxパスワードを必要とせず、Dropboxのサーバーに直接アクセスしたわけでもありませんでした。代わりに、レノボのメール認証プロセスに存在する弱点を悪用し、被害者のメールアドレスを使って不正なレノボIDを登録しました。そうして作成されたIDを使えば、同じメールアドレスに紐づくDropboxアカウントにアクセスできる仕組みになっていたのです。

被害を受けた顧客に送られた通知メールの中で、Dropboxは次のように説明しています。「お客様がレノボIDを既にお持ちでない場合でも、当社の調査により、レノボのメール認証プロセスに存在する問題によって、第三者がお客様のメールアドレスを使ってレノボIDを登録し、そのレノボIDを使ってそのメールアドレスに紐づくDropboxアカウントにログインできる状態になっていたことが判明しました」

Dropboxの広報担当Tim Rathschmidt氏は、同社が影響を受けたアカウントを速やかに保護し、規制当局にも通知したと述べ、事業への重大な影響は見込んでいないと付け加えました。レノボ側は、この連携について「レガシーな統合」であり、「一部のDropboxアカウントへの不正な認証に悪用され得るもの」だったと説明しており、自社の顧客には影響がなかったこと、そして調査が現在も継続中であることを明らかにしています。

侵害の背景

今回の侵入は、両社間の認証連携に潜んでいた弱点を露呈させました。被害者のメールアドレスで登録されたレノボIDがあれば、被害者のDropboxパスワードを事前に要求されることなく、紐づくDropboxアカウントにアクセスできてしまう仕組みだったのです。

Dropboxによれば、侵害を受けたアカウントはいずれも二要素認証を有効にしていませんでした。同社の調査結果は、二要素認証が有効になっていれば、不正なレノボID経由のアクセスに対するもう一段のバリアとして機能していた可能性を示しています。これを受けてDropboxは、有効なレノボIDとの連携をすべて遮断し、既存のセッションを無効化するとともに、今後レノボ経由でログインする際には必ずDropbox独自のパスワード入力を求める安全対策を追加しました。

「アイデンティティ負債」というジレンマ

今回の事案は、いわば「アイデンティティ負債」とも呼べる問題を浮き彫りにしました。つまり、当初の安全性の前提が時代遅れになった後も稼働し続けているレガシーな認証連携です。クラウドサービス各社は利便性を高めるため、長らくシングルサインオン(SSO)や外部サービスによるログイン機能を採用してきましたが、こうした連携は組織が定期的な監査・強化・廃止を怠れば、リスクの温床となり得ます。

プラットフォームが外部の識別子をアカウント所有の証明として扱う場合、連携先のIDプロバイダーに弱点があれば、その影響は接続されたサービス上のアカウントにも及びます。今回の攻撃では、レガシーな連携が通常のDropboxログインプロセスを迂回してしまうため、たとえDropbox側で強固なパスワードを設定していても防ぐことができませんでした。定期的な見直しとID再確認のプロセスがなければ、信頼していたベンダー連携が、見過ごされたアカウント乗っ取りの経路になりかねません。

企業にとっても個人にとっても、外部経路がパスワードそのものを迂回してしまう以上、強固なパスワードだけに頼ることはもはや十分とは言えません。

クラウドストレージのアカウントを保護するためにできることは、以下の通りです。

• 今すぐMFAを有効にする: クラウドストレージや主要なメールアカウントで多要素認証を有効にし、単一要素の認証経路を突いた不正アクセスを防ぎましょう。
• 外部アクセスを監査する: アカウント設定を見直し、身に覚えのないアクティブなWebセッション、連携済みの外部アプリ、放置された公開共有リンクを取り消しましょう。
• アカウントの活動履歴を確認する: 最近のサインイン履歴、アクティブなセッション、連携アプリ、共有リンク、ファイルの活動状況を確認し、見覚えのない変化がないかチェックしましょう。

Dropboxはレノボ経由でのアクセス経路を遮断しましたが、そこから学ぶべき教訓は今回の一件にとどまりません。セキュリティチームは、企業システムに連携している外部IDプロバイダーを棚卸しし、アカウントの照合方法を検証したうえで、可能な限りMFAを必須化し、明確な事業上の必要性がなくなったログイン経路は廃止すべきでしょう。

関連記事: 情報窃取マルウェアが企業のSSO認証情報やアクティブセッションを次々と流出させている実態について。侵害された1つのIDが、複数のクラウドサービスや社内システムへのアクセスを可能にしてしまう仕組みを解説しています。