Migliaia di utenti Dropbox hanno ricevuto nelle ultime settimane un’email che nessuno vorrebbe leggere: un accesso non autorizzato al proprio account, avvenuto senza che fosse necessaria alcuna password. La violazione sicurezza Dropbox emersa a inizio settembre 2026 racconta una storia inquietante su come un problema tecnico apparentemente marginale, legato al sistema di accesso Lenovo ID, abbia permesso a soggetti non autorizzati di entrare in migliaia di account cloud senza dover indovinare o rubare nessuna credenziale.
Summary
Punti chiave
- Gli attaccanti hanno sfruttato una falla di autenticazione nel sistema Lenovo ID per accedere agli account Dropbox senza password.
- L’accesso non autorizzato è avvenuto tra il 4 e il 21 agosto 2026.
- Circa 5.000 account Dropbox sono stati coinvolti nell’incidente.
- Meno di un terzo degli account interessati ha subito la visualizzazione o il download di file.
- Dropbox ha notificato tutti gli utenti colpiti via email e ha modificato il funzionamento del login tramite Lenovo ID.
Accesso agli account Dropbox tramite la falla di autenticazione Lenovo ID
Alla radice dell’incidente c’è un difetto nel processo di verifica email di Lenovo, usato da Dropbox come opzione di accesso tramite single sign-on. Secondo quanto riportato da Dropbox, un problema nella procedura di verifica ha permesso a soggetti non autorizzati di registrare Lenovo ID utilizzando l’indirizzo email di un’altra persona, senza bisogno di accedere davvero a quella casella di posta.
Una volta creato l’identificativo fittizio, l’attaccante poteva semplicemente selezionare l’opzione “Continua con Lenovo” nella schermata di login Dropbox. Il sistema di Lenovo emetteva un token con un’email corrispondente a quella della vittima, e Dropbox, fidandosi ciecamente dell’identità certificata dal partner, avviava la sessione senza ulteriori controlli.
Come funzionava il bypass della password tramite Lenovo ID
Il punto debole non era soltanto lato Lenovo. Come sottolineato da 9to5Mac, il problema più grave riguarda il modo in cui Dropbox stessa gestiva il collegamento tra un nuovo provider di identità e un account già esistente: non veniva richiesta alcuna verifica tramite il login originale dell’utente, né un consenso esplicito per collegare la nuova identità. In pratica, bastava che un provider terzo “garantisse” per un indirizzo email perché Dropbox aprisse le porte dell’account, senza alcuna richiesta di password né controllo aggiuntivo. Questo tipo di accesso non autorizzato Dropbox ha colpito in particolare gli account privi di autenticazione a due fattori, che non disponevano quindi di un ulteriore livello di protezione in caso di compromissione del sistema SSO.
Estensione e tempistica della violazione di sicurezza di Dropbox
L’azienda ha circoscritto la finestra dell’attacco tra il 4 e il 21 agosto 2026. In quel periodo, gli accessi indebiti hanno riguardato circa 5.000 account Dropbox, un numero comunicato direttamente dall’azienda agli utenti coinvolti e ai media.
Non tutti gli account colpiti hanno subito un danno concreto in termini di dati. Dropbox ha precisato che meno di un terzo degli account interessati ha registrato una visualizzazione o un download di file da parte degli intrusi. Per la maggioranza dei casi, i log del sistema non hanno mostrato alcuna prova che i file fossero stati aperti o scaricati, un dettaglio che limita, almeno stando ai dati diffusi dall’azienda, la portata reale del problema autenticazione Lenovo ID in termini di esposizione dei contenuti personali.
Circa 5.000 account coinvolti, pochi con file visualizzati
Il quadro che emerge è quello di un attacco ampio per numero di account toccati, ma relativamente contenuto per impatto effettivo sui dati. Resta però il fatto che qualsiasi accesso non autorizzato, anche privo di conseguenze immediate sui file, rappresenta una violazione della fiducia riposta dagli utenti in un servizio che custodisce documenti personali e aziendali sensibili.
La risposta di Dropbox e le misure di sicurezza adottate
Di fronte alla scoperta dell’incidente, Dropbox ha scelto la strada della trasparenza diretta con gli utenti coinvolti. “Abbiamo inviato un’email a tutti gli utenti colpiti direttamente”, ha dichiarato un portavoce dell’azienda a Decrypt, sottolineando che chi non ha ricevuto alcuna comunicazione non è stato interessato dalla vicenda.
Sul fronte tecnico, l’azienda ha modificato il modo in cui i Lenovo ID possono accedere agli account Dropbox, chiudendo la falla che permetteva il collegamento automatico tra un nuovo identificativo e un account esistente. Secondo quanto riportato da 9to5Mac, Dropbox ha inoltre invalidato tutte le sessioni precedentemente autenticate tramite Lenovo ID, azzerando di fatto l’accesso a chiunque avesse sfruttato la falla nelle settimane precedenti.
Notifiche email e cambiamenti al sistema Lenovo ID
Nella lettera inviata agli utenti, Dropbox ha spiegato passo per passo cosa fosse accaduto e quali misure fossero state adottate, invitando chi avesse dubbi sull’attività del proprio account a contattare il supporto clienti. È un approccio che punta a rassicurare gli utenti, ma che al tempo stesso conferma quanto la vulnerabilità account Dropbox fosse legata a un meccanismo di fiducia automatica tra piattaforme, più che a un attacco diretto ai sistemi interni dell’azienda.
Il caso di Yoni Levy e i rischi del Single Sign-On
Uno dei casi più emblematici è quello dello sviluppatore Yoni Levy, che ha pubblicato su X gli screenshot delle email ricevute da Dropbox. Il primo avviso segnalava un accesso da un nuovo browser, effettuato con Chrome su Windows, da una posizione indicata come “vicino a Canary Wharf”, a Londra, il 18 agosto alle 6:06 del mattino, ora locale.
Levy ha raccontato di non aver mai avuto un account Lenovo e di non essere mai stato nel Regno Unito. Una successiva notifica di Dropbox ha confermato che un soggetto non autorizzato aveva registrato un Lenovo ID usando il suo indirizzo email, per poi utilizzarlo per accedere al suo account.
L’importanza dell’autenticazione a due fattori
Il caso Levy mostra bene perché questo tipo di attacco sia particolarmente insidioso: non richiede il furto della password né l’accesso alla casella email della vittima, ma sfrutta esclusivamente la fiducia automatica tra due sistemi di autenticazione collegati. Gli account privi di autenticazione a due fattori sono risultati i più esposti, perché mancava quel secondo livello di verifica capace di bloccare un accesso anomalo anche in presenza di un’identità “certificata” da un provider esterno.
L’episodio si inserisce in un momento in cui anche altre piattaforme online hanno segnalato episodi simili di allarme sulla sicurezza degli account: pochi giorni prima, alcuni utenti X avevano ricevuto email di reset password non richieste e notifiche di login sospetti, anche se la piattaforma ha dichiarato di non aver trovato prove di una nuova violazione. Un ingegnere di X ha attribuito i tentativi a possibili attacchi mirati a ottenere l’accesso a X Money. Pur trattandosi di episodi distinti, entrambi i casi confermano quanto i sistemi di accesso federato tra piattaforme diverse restino un punto critico per la sicurezza digitale, specie quando manca un controllo incrociato solido tra provider di identità e servizio finale.
FAQ
Come hanno fatto gli attaccanti ad accedere agli account Dropbox senza password?
Gli attaccanti hanno sfruttato una falla nel processo di verifica email di Lenovo per registrare Lenovo ID usando gli indirizzi email delle vittime, ottenendo così un accesso senza password tramite il sistema di single sign-on.
Quanti account Dropbox sono stati colpiti dalla violazione?
Circa 5.000 account Dropbox sono stati coinvolti nell’incidente, avvenuto tra il 4 e il 21 agosto 2026.
Gli attaccanti hanno visualizzato o scaricato file dagli account violati?
Meno di un terzo degli account interessati ha registrato la visualizzazione o il download di file; per la maggior parte dei casi, Dropbox non ha trovato alcuna prova di accesso ai contenuti.
Cosa ha fatto Dropbox per risolvere la vulnerabilità?
Dropbox ha modificato il modo in cui i Lenovo ID possono accedere agli account e ha inviato una notifica via email a tutti gli utenti colpiti dall’incidente.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
