Ribuan Akun Dropbox Dibobol lewat Celah Verifikasi Email Lenovo
Dropbox memperingatkan sebagian penggunanya bahwa akun mereka diakses oleh pihak tidak berwenang setelah penyerang mengeksploitasi kelemahan dalam proses verifikasi email milik Lenovo untuk membuat Lenovo ID palsu.
Serangan ini memungkinkan pelaku mengakses akun Dropbox tanpa mengetahui password korban. Celah tersebut memanfaatkan integrasi autentikasi antara Lenovo ID dan Dropbox yang memungkinkan pengguna masuk ke Dropbox menggunakan Lenovo ID yang telah diverifikasi.
Celah Verifikasi Email Lenovo Dimanfaatkan Penyerang
Menurut pemberitahuan yang dikirim kepada pengguna terdampak, masalah bermula dari kelemahan pada proses verifikasi email Lenovo.
Kondisi tersebut memungkinkan pihak tidak berwenang membuat Lenovo ID menggunakan alamat email korban, meskipun korban sebenarnya tidak pernah memiliki akun Lenovo.
Dropbox menggunakan layanan Lenovo Identity Provider Services sebagai bagian dari infrastruktur autentikasinya. Integrasi ini memungkinkan pengguna mengakses akun Dropbox menggunakan Lenovo ID yang telah diverifikasi.
Penyerang kemudian memanfaatkan Lenovo ID palsu tersebut untuk masuk ke akun Dropbox yang menggunakan alamat email sama.
Yang membuat serangan ini berbahaya adalah proses pengaitan identitas Dropbox mempercayai klaim Lenovo bahwa pihak tersebut mengendalikan alamat email terkait, tanpa kembali meminta pengguna membuktikan kepemilikan akun melalui mekanisme login Dropbox yang sudah ada.
Dropbox menjelaskan bahwa masalah tersebut memungkinkan penyerang membuat Lenovo ID dengan alamat email korban dan kemudian menggunakan identitas tersebut untuk masuk ke akun Dropbox yang terkait dengan alamat email yang sama.
Sekitar 5.000 Akun Dropbox Diakses
Dropbox menentukan bahwa akses tidak sah terjadi antara 4 hingga 21 Agustus 2026.
Menurut laporan Reuters, sekitar 5.000 akun Dropbox diketahui telah diakses dalam insiden tersebut. Pada sebagian akun, pelaku tidak hanya berhasil masuk, tetapi juga melihat dan mengunduh sejumlah konten yang tersimpan di dalam akun.
Dropbox masih melakukan investigasi untuk mengetahui cakupan lengkap insiden dan data apa saja yang diakses.
Menariknya, sejumlah pengguna telah melaporkan aktivitas mencurigakan sekitar dua minggu sebelum pengungkapan insiden.
Beberapa pengguna menerima notifikasi mengenai login Dropbox yang mencurigakan dan kemudian segera mengganti password serta mengaktifkan two-factor authentication (2FA).
Seorang pengguna bahkan menyadari adanya perubahan pada halaman login Dropbox. Opsi “Continue with SSO” tiba-tiba muncul untuk alamat email miliknya, padahal ia tidak pernah membuat Lenovo ID.
Lenovo Sebut Masalah Berasal dari Integrasi Legacy
Lenovo mengonfirmasi bahwa masalah tersebut berkaitan dengan integrasi lama (legacy integration) antara Lenovo ID dan Dropbox.
Menurut Lenovo, integrasi tersebut dapat dimanfaatkan untuk melakukan autentikasi yang tidak semestinya terhadap akun Dropbox tertentu.
Setelah masalah ditemukan, Dropbox dan Lenovo bekerja sama untuk mengurangi risiko serta menghentikan metode autentikasi yang dapat disalahgunakan.
Lenovo juga menyatakan bahwa investigasi menunjukkan pelanggan Lenovo tidak terdampak oleh insiden tersebut. Masalahnya berkaitan dengan integrasi autentikasi yang digunakan Dropbox.
Dropbox Memutus Semua Sesi Lenovo ID
Sebagai langkah mitigasi, Dropbox mengambil sejumlah tindakan untuk mencegah serangan serupa kembali terjadi.
Perusahaan mengakhiri seluruh sesi login yang sebelumnya diautentikasi melalui Lenovo ID. Dropbox juga mengubah mekanisme login sehingga pengguna kini diwajibkan memasukkan password akun Dropbox ketika mencoba menggunakan Lenovo ID untuk autentikasi.
Perubahan tersebut secara efektif menambahkan lapisan verifikasi tambahan dan mencegah Lenovo ID palsu digunakan sendirian untuk mengambil alih akun Dropbox yang terkait.
Dropbox masih menyelidiki insiden tersebut dan belum mengungkap seluruh detail mengenai jumlah data yang diakses atau diunduh oleh penyerang.
Apa yang Perlu Dilakukan Pengguna Dropbox?
Bagi pengguna Dropbox yang mungkin terdampak, langkah pengamanan utama adalah memastikan password akun telah diperbarui dan 2FA telah diaktifkan.
Pengguna juga sebaiknya memeriksa notifikasi login dan aktivitas akun untuk mencari tanda-tanda akses yang tidak dikenali.
Insiden ini menunjukkan bahwa keamanan akun tidak hanya bergantung pada password. Integrasi antara layanan pihak ketiga dan penyedia identitas juga dapat menjadi jalur serangan apabila mekanisme verifikasi kepemilikan akun tidak diterapkan secara ketat.
Dalam kasus Dropbox, kelemahan pada proses verifikasi email di sistem Lenovo kemudian dapat dimanfaatkan untuk memperoleh akses ke akun Dropbox tanpa mengetahui password asli korban.
Sumber: Dropbox dan Lenovo
