Hackers hadden wekenlang toegang tot duizenden Dropbox-accounts

In dit artikel:

Hackers kregen tussen 4 en 21 augustus via een lek in het e-mailverificatieproces van Lenovo toegang tot ongeveer 5.000 Dropbox-accounts. Dropbox-gebruikers konden inloggen met een Lenovo ID, maar aanvallers konden tijdelijk zelf zo’n ID aanmaken met het e-mailadres van een doelwit. Dropbox controleerde die koppeling niet, waardoor zij zonder Dropbox-wachtwoord toegang kregen.

In minder dan een derde van de getroffen accounts zijn volgens Dropbox bestanden bekeken en gedownload. Geen van deze accounts gebruikte tweetrapsauthenticatie. Dropbox heeft alle actieve Lenovo ID-sessies beëindigd, de gebrekkige inlogmogelijkheid aangepast en getroffen gebruikers geadviseerd hun wachtwoord te wijzigen.