Dropbox ha avvisato alcuni utenti che un soggetto non autorizzato ha accesso ai loro account sfruttando una falla nella verifica email di Lenovo per registrare Lenovo ID fraudolenti.
Non si tratta di un furto diretto delle credenziali di Dropbox. L'attacco passa prima dalla verifica di Lenovo, dove un'identità falsa viene accettata come valida; da lì, quella fiducia si propaga fino agli account Dropbox collegati.
Per chi usa identità verificate da terze parti o catene di trust simili, il punto debole può stare a monte del login. In questi casi, i playbook centrati su password e tentativi sospetti di accesso possono non vedere l'origine reale della compromissione.
How a hole in Lenovo's login system let hackers walk into 5,000 Dropbox accounts
If you ever linked your Dropbox account to a Lenovo ID - perhaps to make life easier when logging in via a Lenovo laptop - you might want to take heed.
Dropbox accounts breached through Lenovo email verification flaw
Dropbox is warning some users that an unauthorized party accessed their accounts by exploiting a flaw in Lenovo's email verification process to register fraudulent Lenovo IDs.