クラウドストレージサービスのDropboxは、複数のユーザーに対してメール通知を送り、2026年8月4日から8月21日までの期間にそのアカウントが不正アクセスを受けたことを伝えました。メールの内容には、会社の記録には関連ファイルが閲覧またはダウンロードされた証拠はないと記されているものの、影響を受けたユーザーに対して事件の経緯、現在の対処方法、及び推奨される追加のセキュリティ対策について説明しています。
この事件の根源は、第三者のIDプロバイダーであるLenovoの認証プロセスに脆弱性があったことにあります。DropboxはLenovoと提携しており、ユーザーは認証されたLenovo IDを使用してDropboxアカウントにログインできます。攻撃者はLenovoのメール認証プロセスの欠陥を利用し、被害者のメールアドレスで新しいLenovo IDを登録し、そのIDを通じて直接そのメールアドレスに紐づくDropboxアカウントにログインしました。この過程では、ユーザーのログインパスワードを取得する必要はありませんでした。
攻撃プロセスは4つの重要な段階から成る
The CyberSec Guruが発表した事件分析によれば、攻撃チェーンは4つの段階に分けられます。まず、攻撃者は漏洩したデータベース、LinkedIn、または顧客リストなどの公開情報源を通じてターゲットのメールアドレスを収集します。その後、被害者のメールボックスにアクセスすることなく、ターゲットのアドレスで新しいLenovo IDを登録し、表示名を使い捨ての文字列に設定します。例えば、故アメリカンフットボールリーグのアナウンサー「John Madden」が典型的な例であり、攻撃が大規模かつ低コストの自動化操作であることを示しています。
第三段階では、攻撃者がDropboxのログインページで「Continue with Lenovo」オプションを選択し、Lenovoの認可サーバーが被害者と同じメールアドレスを含むトークンを発行します。最後に、Dropboxシステムはそのメールアドレスに基づいてトークンを既存のアカウントにリンクし、ログインセッションを作成します。このプロセスにはパスワード認証も権限昇格の要求もなく、「この新しいIDをリンクしますか？」という確認プロンプトもありません。Dropboxの観点から見ると、信頼できるIDプロバイダーがそのメールアドレスを保証しているため、システムは直接受け入れます。
脆弱性の根本はDropboxのIDバインディング確認メカニズムの欠如
Lenovoがメール認証プロセスにおいて失敗したことは確かですが、もしDropboxがシングルサインオンリンクを作成する前にユーザーに既存のログイン方法で新しいIDを確認するよう求めていれば、この事件は発生しなかったでしょう。Dropboxシステムはユーザーの確認なしに、第三者のプロバイダーから発行されたIDを既存のアカウントに直接リンクしてしまったことは、重大な設計上の過失です。会社は関連する脆弱性を修正し、Lenovo IDで認証されたすべてのセッションを撤回しました。