สรุปเหตุการณ์สำคัญ
Dropbox แจ้งเตือนผู้ใช้บางส่วนว่า บัญชีถูกบุคคลภายนอกเข้าถึงโดยไม่ได้รับอนุญาต หลังผู้โจมตีอาศัยช่องโหว่ในกระบวนการยืนยันอีเมลของ Lenovo เพื่อสร้าง Lenovo ID ปลอม แล้วใช้บัญชีดังกล่าวเข้าสู่ระบบ Dropbox โดยไม่จำเป็นต้องรู้รหัสผ่านของผู้ใช้
เหตุการณ์นี้เกิดขึ้นจากระบบยืนยันตัวตนที่เชื่อมโยงระหว่าง Dropbox กับ Lenovo Identity Provider Services ซึ่ง Dropbox ใช้เป็นหนึ่งในโครงสร้างพื้นฐานสำหรับการเข้าสู่ระบบ ทำให้ผู้ใช้สามารถล็อกอิน Dropbox ผ่าน Lenovo ID ที่ผ่านการยืนยันแล้วได้
ตามข้อมูลในประกาศที่ Dropbox ส่งถึงผู้ใช้ที่ได้รับผลกระทบ ปัญหาเกิดจากกระบวนการยืนยันอีเมลของ Lenovo ที่เปิดช่องให้ผู้โจมตีลงทะเบียน Lenovo ID โดยใช้อีเมลของบุคคลอื่น แม้ผู้ใช้บางรายจะไม่เคยมี Lenovo ID มาก่อนก็ตาม
🛡️
สร้าง Lenovo ID ปลอม ก่อนใช้เข้าสู่ Dropbox
หลังสร้าง Lenovo ID ด้วยอีเมลของเหยื่อ ผู้โจมตีสามารถใช้บัญชีดังกล่าวเข้าสู่ Dropbox ที่ลงทะเบียนด้วยอีเมลเดียวกันได้ เนื่องจากกระบวนการเชื่อมโยงบัญชีของ Dropbox เชื่อถือข้อมูลจาก Lenovo ว่าบุคคลดังกล่าวเป็นเจ้าของอีเมล โดยไม่ได้บังคับให้ยืนยันตัวตนผ่านระบบล็อกอินเดิมของ Dropbox อีกครั้ง
ผู้ใช้บางรายเริ่มพบความผิดปกติเมื่อได้รับการแจ้งเตือนว่ามีการเข้าสู่ระบบ Dropbox ที่น่าสงสัย และพบว่าหน้าล็อกอินเริ่มแสดงตัวเลือก “Continue with SSO” สำหรับอีเมลของตนเอง ทั้งที่ไม่เคยสมัคร Lenovo ID มาก่อน
จากการสอบสวนของ Dropbox พบว่า ผู้โจมตีเข้าถึงบัญชีของผู้ใช้ในช่วงระหว่าง 4–21 สิงหาคม และข้อมูลจาก Reuters ระบุว่ามีบัญชีถูกเข้าถึงประมาณ 5,000 บัญชี โดยในบางกรณี ผู้โจมตีสามารถเปิดดูและดาวน์โหลดไฟล์ภายในบัญชีได้
⚠️
Lenovo ยืนยันเป็นปัญหาจากระบบเชื่อมต่อรุ่นเก่า
Lenovo ระบุว่าปัญหาดังกล่าวเกี่ยวข้องกับ การเชื่อมต่อระบบรุ่นเก่า ระหว่าง Lenovo ID กับ Dropbox ซึ่งสามารถถูกนำไปใช้เพื่อยืนยันตัวตนเข้าสู่บัญชี Dropbox บางส่วนอย่างไม่ถูกต้อง
หลังพบปัญหา Dropbox และ Lenovo ได้ร่วมกันแก้ไขและลดความเสี่ยง โดย Lenovo ระบุว่าลูกค้าที่ใช้ Lenovo ID โดยทั่วไปไม่ได้รับผลกระทบจากเหตุการณ์นี้
✅
การดำเนินการแก้ไขและอัปเดตความปลอดภัย
ด้าน Dropbox ได้ ยกเลิกเซสชันการเข้าสู่ระบบทั้งหมด ที่ยืนยันตัวตนผ่าน Lenovo ID ทันที พร้อมเพิ่มขั้นตอนความปลอดภัยใหม่ โดยผู้ใช้จะต้อง "กรอกรหัสผ่าน Dropbox ของตนเองเพิ่มเติม" หากเลือกใช้ Lenovo ID เพื่อเข้าสู่ระบบในครั้งต่อไป
