Компания Dropbox уведомила более пяти тысяч пользователей о том, что их учетные записи были скомпрометированы. Причиной инцидента стала ошибка в процессе верификации email-адресов, допущенная на стороне Lenovo.

Злоумышленники воспользовались уязвимостью в старой интеграции между Lenovo ID и Dropbox. Эта связка позволяла выполнить вход в чужой аккаунт без ввода пароля, если злоумышленник знал или подбирал нужный адрес электронной почты.

Суть проблемы заключалась в том, что Lenovo некорректно подтверждала принадлежность email-адреса конкретному пользователю. Из-за этого бага злоумышленники могли привязать чужой адрес к своему Lenovo ID и получить доступ к связанному с ним аккаунту Dropbox.

В Dropbox заявили, что уже закрыли данную интеграцию и провели дополнительную проверку безопасности. Пострадавшим пользователям рекомендовано сменить пароли и пересмотреть активные сессии входа, чтобы убедиться в отсутствии посторонних устройств.

Этот случай в очередной раз демонстрирует риски, связанные с использованием сторонних сервисов для авторизации на других платформах. Ожидается, что Dropbox усилит мониторинг подозрительных входов, чтобы предотвратить подобные инциденты в будущем.