Hackean más de 5.000 cuentas de Dropbox: atacantes solo necesitaron las direcciones de correo electrónico

Dropbox comenzó a notificar esta semana a un número no especificado de usuarios que sufrieron un acceso no autorizado a sus cuentas, luego de que atacantes explotaran una falla en el sistema de autenticación de terceros de Lenovo.

Según la compañía, la brecha ocurrió entre el 4 y el 21 de agosto y afectó a unas 5.000 cuentas.

El método utilizado por los atacantes no requería contraseñas ni credenciales robadas: bastaba con conocer la dirección de correo electrónico de la víctima.

Con ese dato, los responsables crearon una identificación de Lenovo (Lenovo ID) y la asociaron a la cuenta de Dropbox correspondiente, lo que les permitió iniciar sesión sin necesidad de ningún otro dato de acceso.

Un fallo en el sistema de identidad “Dropbox trabaja con Lenovo como proveedor de identidad para que los usuarios puedan iniciar sesión en sus cuentas de Dropbox mediante Lenovo IDs verificadas”, explicó la compañía en una carta enviada a las víctimas y publicada en la red social X, en la que detalló el mecanismo del ataque.

De acuerdo con un informe publicado por The CyberSec Guru, la falla de autenticación de Lenovo permitía registrar identificaciones con cualquier dirección de correo electrónico, sin verificar si esa persona controlaba realmente la casilla.

Esto significa que las víctimas no necesitaban tener una cuenta previa de Lenovo para que los atacantes lograran acceder a su información en Dropbox.

Dropbox indicó que ya corrigió el error y que, tras contener el incidente e iniciar una investigación interna, cerca de un tercio de las 5.000 cuentas comprometidas muestra indicios de que sus archivos fueron vistos o descargados.

La mayoría de las cuentas afectadas no tenía habilitada la autenticación de dos factores.

Usuarios detectaron la anomalía antes que la empresa Según el informe, Dropbox descubrió el problema después de que varios usuarios comenzaran a reportar, a mediados de agosto, alertas de “nuevo inicio de sesión” en sus cuentas.

Al menos un usuario notó la aparición de una opción “Continuar con SSO” vinculada a una dirección de correo que nunca había asociado a una cuenta de Lenovo.

Otros afectados detectaron perfiles falsos de Lenovo creados con nombres ficticios, entre ellos uno registrado como “John Madden”.

En ese caso, el investigador de seguridad Yoni Levy, dueño de la cuenta real, logró recuperar y desactivar el perfil fraudulento mediante el proceso estándar de restablecimiento de contraseña, ya que el enlace de recuperación llegó directamente a su casilla legítima.

Además de las alertas de inicio de sesión —una de ellas rastreada en las cercanías de Dublín, Irlanda—, varios usuarios reportaron haber recibido códigos de verificación de Lenovo que nunca solicitaron.