Dropbox アカウントへの不正アクセス：Lenovo ID を介した侵害とは？

Dropbox accounts breached through Lenovo email verification flaw

2026/09/02 BleepingComputer — Dropbox が一部のユーザーに対して警告したのは、Lenovo ID を不正登録した第三者がメール検証プロセスを悪用して、Dropbox アカウントへの不正アクセスに成功している状況である。影響を受けたユーザーは Lenovo ID を保有していなかったが、Dropbox は認証インフラの一部として Lenovo Identity Provider Services を利用している。それにより、検証済みの Lenovo ID を悪用した脅威アクターが、Dropbox アカウントに不正アクセスしている。

影響を受けたユーザーへ送信された通知によると、Lenovo のメール検証プロセスの問題により不正アクセスが可能となっており、権限のない第三者がユーザーのメール・アドレスを使用して Lenovo ID を登録することが可能になっていた。

その後に攻撃者は、不正に登録した Lenovo ID を悪用して、正規のログイン・パスワードを入力することなく、同じメール・アドレスで登録されている Dropbox アカウントにアクセスした。Dropbox の ID 連携プロセスでは、既存の Dropbox ログイン方法による確認を要求することなく、攻撃者が不正に登録した Lenovo ID に基づく Lenovo 側の認証結果を信頼していた。

Dropbox は、「当社の調査により明らかになったのは、既存の Lenovo ID を持たない場合でも、Lenovo のメール検証プロセスの問題により権限のない第三者がユーザーのメール・アドレスを悪用できることだ。それにより、Lenovo ID を登録し、その Lenovo ID を使用することで、メール・アドレスに関連付けられた Dropbox アカウントにログインできたことが判明した」と述べている。

約 2 週間前に、不審な Dropbox へのサインインに関する通知を受け取った一部の Dropbox ユーザーが、直ちにパスワードの変更／二要素認証 (2FA) の有効化を行ったと報告されている。

ユーザーである xaphod は、「当時、奇妙なことが 1 つあった。Lenovo ID を作成したことが一度もないにもかかわらず、Dropbox のログインページで、私のメール・アドレスに対して『Continue with SSO』が表示されるようになっていた」と述べている。Dropbox は、2026年8月4日から 8月21日までの間に、攻撃者がユーザーの Dropbox アカウントにアクセスしたと判断している。

BleepingComputer に対する声明で Lenovo は、「この問題は、Lenovo ID／Dropbox 間の旧式の統合に関連しており、特定の Dropbox アカウントを不正に認証するために悪用可能な状態だった。問題を特定した後、Dropbox／Lenovo は協力して迅速にリスクを軽減した」と述べている。なお、この事案の調査は継続されているが、それにより Lenovo の顧客に影響が生じたことはないとされる。

Dropbox 側の対応策は、Lenovo ID を通じて認証された全セッションを失効させるとともに、Lenovo ID による認証を使用しようとする際に Dropbox アカウントのパスワード入力を必須とするログイン要件を追加することである。

Reuters によると、約 5,000 のアカウントが不正アクセスを受け、攻撃者は一部のユーザーのコンテンツを閲覧／ダウンロードした。BleepingComputer は追加情報を求めて Dropbox に問い合わせたが、記事の公開時点では回答を得ていない。

外部の認証システムにおける確認手順の甘さを突かれ、Dropbox (ドロップボックス) のアカウントが不正に開かれてしまいました。認証連携側の初期登録における不備／第三者による勝手な ID 作成／パスワードなしでのパススルー／アカウント内のファイル参照やダウンロード発生、といった影響が確認されています。サービス事業者側では、既存セッションの一括切断／Lenovo (レノボ) ID 利用時のパスワード再入力の必須化、といった安全対策が実施されました。安全な環境を守るためにも、定期的なセッションの点検やセキュリティ設定の確認が推奨されます。