ผู้ใช้ Dropbox ถูกแฮก จากช่องโหว่ยืนยันอีเมลของ Lenovo
Dropbox แจ้งเตือนผู้ใช้บางส่วนว่า บัญชีถูกบุคคลภายนอกเข้าถึงโดยไม่ได้รับอนุญาต หลังผู้โจมตีอาศัยช่องโหว่ในกระบวนการยืนยันอีเมลของ Lenovo เพื่อสร้าง Lenovo ID ปลอม แล้วใช้บัญชีดังกล่าวเข้าสู่ระบบ Dropbox โดยไม่จำเป็นต้องรู้รหัสผ่านของผู้ใช้
เหตุการณ์นี้เกิดขึ้นจากระบบยืนยันตัวตนที่เชื่อมโยงระหว่าง Dropbox กับ Lenovo Identity Provider Services ซึ่ง Dropbox ใช้เป็นหนึ่งในโครงสร้างพื้นฐานสำหรับการเข้าสู่ระบบ ทำให้ผู้ใช้สามารถล็อกอิน Dropbox ผ่าน Lenovo ID ที่ผ่านการยืนยันแล้วได้
ตามข้อมูลในประกาศที่ Dropbox ส่งถึงผู้ใช้ที่ได้รับผลกระทบ ปัญหาเกิดจากกระบวนการยืนยันอีเมลของ Lenovo ที่เปิดช่องให้ผู้โจมตีลงทะเบียน Lenovo ID โดยใช้อีเมลของบุคคลอื่น แม้ผู้ใช้บางรายจะไม่เคยมี Lenovo ID มาก่อนก็ตาม
สร้าง Lenovo ID ปลอม ก่อนใช้เข้าสู่ Dropbox
หลังสร้าง Lenovo ID ด้วยอีเมลของเหยื่อ ผู้โจมตีสามารถใช้บัญชีดังกล่าวเข้าสู่ Dropbox ที่ลงทะเบียนด้วยอีเมลเดียวกันได้ เนื่องจากกระบวนการเชื่อมโยงบัญชีของ Dropbox เชื่อถือข้อมูลจาก Lenovo ว่าบุคคลดังกล่าวเป็นเจ้าของอีเมล โดยไม่ได้บังคับให้ยืนยันตัวตนผ่านระบบล็อกอินเดิมของ Dropbox อีกครั้ง
ผู้ใช้บางรายเริ่มพบความผิดปกติเมื่อได้รับการแจ้งเตือนว่ามีการเข้าสู่ระบบ Dropbox ที่น่าสงสัย และพบว่าหน้าล็อกอินเริ่มแสดงตัวเลือก “Continue with SSO” สำหรับอีเมลของตนเอง ทั้งที่ไม่เคยสมัคร Lenovo ID มาก่อน
จากการสอบสวนของ Dropbox พบว่า ผู้โจมตีเข้าถึงบัญชีของผู้ใช้ในช่วงระหว่าง 4–21 สิงหาคม และข้อมูลจาก Reuters ระบุว่ามีบัญชีถูกเข้าถึงประมาณ 5,000 บัญชี โดยในบางกรณี ผู้โจมตีสามารถเปิดดูและดาวน์โหลดไฟล์ภายในบัญชีได้
Lenovo ยืนยันเป็นปัญหาจากระบบเชื่อมต่อรุ่นเก่า
Lenovo ระบุว่าปัญหาดังกล่าวเกี่ยวข้องกับ การเชื่อมต่อระบบรุ่นเก่าระหว่าง Lenovo ID กับ Dropbox ซึ่งสามารถถูกนำไปใช้เพื่อยืนยันตัวตนเข้าสู่บัญชี Dropbox บางส่วนอย่างไม่ถูกต้อง
หลังพบปัญหา Dropbox และ Lenovo ได้ร่วมกันแก้ไขและลดความเสี่ยง โดย Lenovo ระบุว่าลูกค้าที่ใช้ Lenovo ID โดยทั่วไปไม่ได้รับผลกระทบจากเหตุการณ์นี้
ด้าน Dropbox ได้ยกเลิกเซสชันการเข้าสู่ระบบทั้งหมดที่ยืนยันตัวตนผ่าน Lenovo ID และเพิ่มขั้นตอนความปลอดภัยใหม่ โดยผู้ใช้จะต้องกรอกรหัสผ่าน Dropbox ของตนเองเพิ่มเติม หากเลือกใช้ Lenovo ID เพื่อเข้าสู่ระบบ