简讯
- Dropbox通知用户未经授权账户访问发生在8月4日至8月21日之间，攻击者 reportedly 利用Lenovo ID认证问题。
- 一名受影响用户收到警报显示，使用Windows上的Chrome在伦敦金丝雀码头附近登录。
- Dropbox表示未发现文件被查看或下载的证据，并已更改Lenovo ID访问账户的方式。
多个Dropbox用户收到通知，未经授权方通过涉及Lenovo ID的认证缺陷访问其账户。
事件似乎利用了Dropbox通过Lenovo ID处理单点登录（SSO）的方式。Dropbox表示，Lenovo的电子邮件验证流程中的问题允许未经授权方使用他人电子邮件地址注册Lenovo ID，然后使用该身份访问与相同地址关联的Dropbox账户。
在致受影响用户的信中，Dropbox表示账户在2026年8月4日至8月21日期间被未经授权访问，尽管公司表示日志显示没有文件被查看或下载的证据。
"我们最近确定了影响通过Lenovo ID连接且未启用Dropbox双重身份验证的Dropbox账户的未经授权访问，" Dropbox发言人告诉Decrypt。"我们的调查确定Lenovo电子邮件验证流程中的问题允许未经授权方使用另一人的电子邮件地址注册Lenovo ID，然后使用该Lenovo ID登录与该电子邮件地址关联的Dropbox账户。"
"约5000个Dropbox账户受到影响，不到三分之一的受影响账户有文件被查看或下载，" 发言人补充道。"我们已直接发邮件给所有受影响用户。对账户活动有疑问的客户应联系我们的支持团队。如果用户没有收到我们的邮件，他们的账户未受影响。"
开发者Yoni Levy是受影响用户之一，在X上发布了信函截图。
so dropbox got hacked (never had a Lenovo account, haven't been to UK) pic.twitter.com/UoYRaJFuEC
— yoni | parser.eth (@yonilevy) 2026年8月31日
一张截图显示Dropbox警告Levy，新网页浏览器于当地时间8月18日上午6:06从"英国英格兰金丝雀码头附近"登录其账户。登录使用Windows上的Chrome。
Levy表示他从未有过Lenovo账户，也未曾去过英国。
后续Dropbox通知告诉Levy，调查确定未经授权方使用他的电子邮件地址注册了Lenovo ID，然后使用该ID登录他的Dropbox账户。
攻击似乎不需要受害者的Dropbox密码或访问其电子邮件收件箱。根据Dropbox，受影响的账户与Lenovo ID关联，且未启用Dropbox双重身份验证，允许攻击者使用匹配电子邮件地址新注册的Lenovo ID访问现有账户而无需额外验证。
该警告紧随其他影响主要在线平台的安全恐慌。
周二，X用户报告大量非请求密码重置电子邮件、不熟悉登录警报和账户锁定的激增，尽管X表示未发现新漏洞的证据。X工程师表示，攻击者似乎试图控制账户以访问X Money。
来源：https://decrypt.co/377099/dropbox-security-breach