Вразливість у Lenovo ID дозволила зламати тисячі акаунтів Dropbox без паролів

Dropbox зламали через вразливість у Lenovo ID: під загрозою — паролі не потрібні

На початку вересня 2026 року стало відомо про інцидент з безпекою в Dropbox: зловмисники отримали неавторизований доступ до тисяч акаунтів, не знаючи паролів жертв. Проблема виникла не в самому Dropbox, а в системі єдиного входу (SSO) через Lenovo ID, партнера сервісу з ідентифікації користувачів.

ПередісторіяDropbox повідомив постраждалим користувачам про неавторизований доступ до їхніх акаунтів у період з 4 по 21 серпня 2026 року. За словами компанії, постраждало приблизно 5000 акаунтів, і менш ніж третина з них мала випадки перегляду чи завантаження файлів.

Розсилку листів про інцидент Dropbox розпочав орієнтовно 31 серпня 2026 року.

У чому суть вразливостіDropbox дозволяє входити в акаунт через “верифікований” Lenovo ID замість пароля — це партнерська функція єдиного входу. Проблема була не на боці Dropbox, а у процесі верифікації email на стороні Lenovo.

Зловмисники могли реєструвати Lenovo ID на будь-яку електронну адресу, включно з тими, якими вони не володіли, і потім використовувати цей Lenovo ID для входу в Dropbox.

Система Dropbox просто зіставляла заявлену електронну адресу з наявним акаунтом і відкривала сесію — без пароля, без доступу до поштової скриньки жертви.

Тобто жертві навіть не потрібно було мати акаунт Lenovo чи будь-коли пов’язувати його з Dropbox, щоб постраждати — довіра між сервісами трималась лише на самій адресі електронної пошти.

Дослідники безпеки вказують, що це не унікальний випадок: та сама модель вразливості — коли стороння служба приймає заявлену електронну адресу як доказ належності акаунта — раніше фігурувала в CVE-2026-55075 (Coder) та CVE-2026-14781 (Keycloak).

Хто постраждавВразливими були лише акаунти, які одночасно:

• підключені до Lenovo ID для входу;
• не мали увімкненої двофакторної автентифікації Dropbox.

Один із постраждалих користувачів публічно розповів, що ніколи не мав акаунта Lenovo і не бував у Великій Британії, однак отримав сповіщення про вхід у свій Dropbox з Лондона.

Що зробив DropboxКомпанія завершила всі сесії, автентифіковані через Lenovo ID, розірвала зв’язок між акаунтами Lenovo та Dropbox, і тепер вимагає пароль Dropbox як додаткове підтвердження перед входом через Lenovo ID.

Постраждалих користувачів сповістили напряму електронною поштою.

Dropbox радить: змінити пароль до Dropbox, змінити пароль поштової скриньки та увімкнути двоетапну перевірку.

4 дії, які потрібно зробити користувачам Dropbox

1. Перевірте пошту — чи не отримували ви лист від Dropbox про цей інцидент (розсилка почалась наприкінці серпня 2026-го).
2. Увімкніть двофакторну автентифікацію у налаштуваннях безпеки Dropbox, якщо ще цього не зробили.
3. Перегляньте активні сесії та підключені сторонні служби входу в акаунті.
4. Якщо ви колись підключали вхід через Lenovo ID — варто змінити пароль Dropbox і перевірити, чи не залишилось підозрілих сесій.

Наразі незрозуміло, чи Lenovo вже закрила саму вразливість у процесі верифікації email — якщо ні, ризик залишається актуальним для будь-якого іншого сервісу, що довіряє Lenovo ID як методу входу.

*Матеріал підготовлено на основі повідомлень Dropbox постраждалим користувачам та публікацій Decrypt, 9to5Mac, OODAloop, The CyberSec Guru та Cryptonomist (вересень 2026).