Un bug nel sistema di verifica email di Lenovo ha permesso a cybercriminali di accedere a circa 5.000 account Dropbox senza password, sfruttando l'integrazione SSO. Dropbox ha bloccato l'accesso tramite Lenovo ID e imposto nuove misure di sicurezza.
Un attacco silenzioso ma devastante ha colpito Dropbox: circa 5.000 account sono stati violati da un gruppo che ha sfruttato una vulnerabilità nell'integrazione con Lenovo. Gli aggressori sono riusciti a entrare nei profili degli utenti senza conoscere le password, semplicemente registrando un Lenovo ID con l'indirizzo email della vittima e aggirando così i controlli di autenticazione.
Il cuore del problema? Un difetto nel processo di verifica email di Lenovo, che ha permesso la creazione di ID fraudolenti associati a indirizzi reali. Dropbox, che utilizza i servizi di Lenovo Identity Provider per l'accesso Single Sign-On (SSO), ha accettato senza ulteriori controlli l'identità dichiarata da Lenovo, aprendo la porta agli intrusi. In pratica, bastava che l'attaccante registrasse un Lenovo ID con l'email della vittima per ottenere accesso diretto all'account Dropbox collegato, senza mai dover inserire la password originale.
Come è stato scoperto l'attacco
Alcuni utenti hanno raccontato di aver ricevuto notifiche di accessi sospetti già due settimane fa, notando la comparsa improvvisa dell'opzione "Continue with SSO" nella pagina di login Dropbox, pur non avendo mai creato un Lenovo ID. Molti hanno reagito cambiando immediatamente password e attivando la verifica a due fattori, ma per centinaia di account il danno era già fatto: tra il 4 e il 21 agosto, gli aggressori hanno visualizzato e scaricato dati sensibili da numerosi profili.
Lenovo ha confermato che la falla riguardava una vecchia integrazione tra Lenovo ID e Dropbox, precisando che i clienti Lenovo non sono stati direttamente coinvolti. "Dropbox e Lenovo hanno collaborato per mitigare rapidamente il rischio", ha dichiarato un portavoce, mentre l'indagine interna prosegue per chiarire l'estensione dell'incidente.
Le contromisure adottate e le responsabilità
Dropbox ha reagito scadendo tutte le sessioni attive tramite Lenovo ID e imponendo un nuovo requisito: ora, anche chi usa l'autenticazione Lenovo deve inserire la password Dropbox. Una misura tardiva, ma necessaria per chiudere una falla che ha messo a rischio la privacy di migliaia di utenti. Al momento, Dropbox non ha fornito ulteriori dettagli pubblici sull'incidente, nonostante le richieste di chiarimento da parte di BleepingComputer.
Il caso ricorda altri episodi di vulnerabilità nei sistemi di autenticazione federata, come quanto accaduto a GitHub con i blackout globali e i problemi di accesso. La lezione è chiara: affidarsi ciecamente alle dichiarazioni di identità di provider terzi, senza una verifica autonoma, espone a rischi enormi. In un'epoca in cui l'integrazione tra servizi è la norma, la sicurezza non può essere delegata: Dropbox ha pagato il prezzo di una fiducia mal riposta, e ora dovrà riconquistare la credibilità persa tra gli utenti più attenti alla protezione dei dati.
