Уязвимость в Lenovo ID привела к взлому 5000 аккаунтов Dropbox

В чате скинули разбор о том, как уязвимость в проверке email-адресов у Lenovo привела к компрометации 5000 аккаунтов Dropbox. По сути, злоумышленники могли зарегистрировать аккаунт Lenovo ID на чужой почте, и система Dropbox, полагаясь на подтверждение, разрешала вход без пароля. Это не бэкдор и не взлом системы — это обход проверки, который сработал из-за старой интеграции. Всё происходило с 4 по 21 августа 2026 года, и ключевым фактором стала отсутствие двухфакторной аутентификации у жертв. Среди пострадавших оказался известный пользователь, и у него даже был зашифрованный файл, что снизило

Считаю, что это не про 'хакеров, выбранных случайно' — это про системный риск, когда старая интеграция с внешним сервисом становится точкой входа. Уязвимость не в Dropbox, а в том, как проверяется принадлежность email. Если у клиента есть подобная интеграция — даже если она давно не используется — это потенциальный вектор. Особенно если у них включён SSO или привязка к другим сервисам.

На мой взгляд, важнее не то, что случилось, а то, что никто не заметил, пока не пришло уведомление. Уже начал проверять у клиентов, кто использует внешние системы входа, особенно через SSO. У тех, у кого есть подобные настройки, проверяю, как проходит верификация email. Если есть возможность зарегистрировать аккаунт на чужой почте — это тревожный сигнал.

У себя сделал так: временно отключил все внешние SSO, пока не проверю, как устроена верификация. У клиентов на поддержке это закрывается заранее — если в системе есть подобная логика, она должна быть в списке рисков. Следующей неделей поставлю в план проверку интеграций, где email-адрес может быть использован как ключ входа.