Учетные записи сервиса Dropbox взломаны из-за его старой дружбы с Lenovo
Недостатки в процедуре проверки идентификаторов Lenovo позволили злоумышленникам вторгнуться в чужие хранилища в Dropbox, используя только почтовые адреса.
Всего-то и нужно было, что…
Dropbox известил некоторых пользователей о том, что киберзлоумышленники могли получить доступ к их учетным записям и содержимому сетевых хранилищ. Хакеры воспользовались уязвимостью в алгоритмах проверки почтового адреса фирмы Lenovo, зарегистрировали множество поддельных идентификаторов для этой системы (Lenovo ID), используя почтовые адреса жертв.
А поскольку Dropbox использует в том числе службу аутентификации Lenovo Identity Provider Services, подтвержденные и мошеннические идентификаторы Lenovo могут использоваться для получения доступа к аккаунтам в Dropbox, даже если их обладатели не регистрировали Lenovo ID. Достаточно знать их электронную почту.
В уведомлении, отправленном пострадавшим пользователям, несанкционированный доступ стал возможен из-за «проблемы в процедуре проверки электронной почты Lenovo», которая «позволила постороннему лицу зарегистрировать идентификатор Lenovo ID, используя ваш адрес электронной почты».
Недостатки в процедуре проверки идентификаторов Lenovo позволили злоумышленникам вторгнуться в чужие хранилища в Dropbox
Затем злоумышленники использовали поддельные идентификаторы Lenovo для доступа к учетным записям Dropbox, зарегистрированной на тот же адрес электронной почты. Вводить пароль в таком случае оказалось не нужно: Lenovo ID у Dropbox пользовался полным доверием.
Некоторые пользователи Dropbox пишут, что «примерно две недели назад» начали получать уведомления о подозрительных логинах в Dropbox. Они сразу сменили пароль и активировали двухфакторную аутентификацию (2FA).
«В тот момент меня удивило одно обстоятельство: на странице входа в Dropbox для моей электронной почты появилось предложение «Продолжить с помощью SSO», хотя я никогда не создавал учетную запись Lenovo», — цитирует одного такого пользователя издание BleepingComputer.
Устаревшая интеграция
По данным Dropbox, злоумышленники получили доступ к учетным записям пользователей где-то между 4 и 21 августа.
В компании Lenovo сообщили, что проблема связана с устаревшей интеграцией между Lenovo ID и Dropbox, которая могла быть использована «для некорректной аутентификации некоторых учетных записей Dropbox».
«После выявления проблемы Dropbox и Lenovo совместно приняли меры для оперативного устранения риска», — сообщил представитель Lenovo изданию BleepingComputer.
Расследование инцидента продолжается, но компания установила, что клиенты Lenovo с активными учетными записями не пострадали от этой проблемы.
Dropbox аннулировал все сессии, аутентифицированные с помощью Lenovo ID, и ввел принудительный запрос пароля при попытке использовать аутентификацию с помощью Lenovo ID.
«Речь идет о старой системе аутентификации, проверкой которой на предмет безопасности никто не занимался, — отмечает Никита Павлов, эксперт по информационной безопасности компании SEQ. — Возникает вопрос, сколько еще интеграций Dropbox с другими SSO-провайдерами существует и какая часть из них может легко стать добычей хакеров».
По данным издания Reuters, взлому подверглись около 5000 учетных записей. Злоумышленники скачали данные из некоторых из них.
