Dropbox約5,000アカウントに不正アクセス、Lenovo IDの認証連携を悪用

Dropboxは2026年9月1日、Lenovo IDとの認証連携を悪用した不正アクセスにより、約5,000件のアカウントが侵害されたと明らかにした。不正アクセスは8月4日から21日にかけて発生し、侵害されたアカウントの3分の1未満ではファイルが閲覧またはダウンロードされた。

影響を受けたアカウントではDropboxの2要素認証が有効になっていなかった。DropboxはLenovo ID経由のセッションを失効させ、既存のアカウント連携を解除したほか、Lenovo IDを使ってログインする際にもDropboxのパスワード入力を求めるよう認証方式を変更した。

■他人のメールアドレスで作られたLenovo IDを悪用

Dropboxは、LenovoをIDプロバイダーとして認証基盤に組み込み、確認済みのLenovo IDを使ってDropboxアカウントにログインできる仕組みを提供していた。

Dropboxの調査によると、Lenovo側のメールアドレス確認プロセスに問題があり、第三者が自分では管理していないメールアドレスを使ってLenovo IDを登録できる状態になっていた。攻撃者はこの仕組みを利用して被害者のメールアドレスでLenovo IDを作り、同じメールアドレスに関連付けられたDropboxアカウントへログインした。

このため、被害者があらかじめLenovo IDを作成していたとは限らず、攻撃者がDropboxのパスワードを入手する必要もなかった。Dropboxのストレージ基盤そのものへの侵入ではなく、外部のIDプロバイダーを利用するフェデレーション認証の経路が悪用された事案である。

Lenovoは、この問題がLenovo IDとDropboxの間に残っていた旧来の認証連携に関連し、一部のDropboxアカウントを不適切に認証するために利用可能な状態だったと説明した。両社は協力してリスクを軽減しており、Lenovoによれば同社の顧客は今回の問題による影響を受けていない。調査は引き続き行われている。

■約5,000件が侵害、3分の1未満でファイルにアクセス

Dropboxによると、侵害されたアカウントは約5,000件で、このうちファイルが閲覧またはダウンロードされたのは3分の1未満だった。残るアカウントについては、不正ログインは確認されたものの、ファイルが閲覧またはダウンロードされた証拠は確認されていない。

影響を受けた開発者のYoni Levyは、8月18日に英国のカナリー・ワーフ周辺からWindows版Chromeを使った新規ログインがあったとするDropboxの警告画面を公開した。本人はLenovoアカウントを作成したことがなく、英国を訪れたこともないと説明している。

Bitcoin関連のセキュリティ企業Casaの共同創業者Jameson Loppも、自身のDropboxアカウントに侵入され、保存していたファイルへのアクセスが試みられたと明らかにした。このファイルはアップロード前に端末上で暗号化されていたという。

一部の利用者は、不審なログインが発生する前後に、Dropboxのログイン画面へ身に覚えのない「SSOで続行」という選択肢が表示されたと報告している。自分で設定していない外部認証の選択肢や不審なログイン通知が表示された場合は、アカウントのセキュリティ設定とログイン中のセッションを確認する必要がある。

■メールアドレスの一致を信頼した認証連携

シングルサインオンでは、Dropboxのようにサービスを提供する側が、外部のIDプロバイダーによる認証結果を受け入れる。今回の問題では、Lenovo IDが示すメールアドレスと既存のDropboxアカウントのメールアドレスが一致したことをもとに、Dropbox側でログインが認められた。

この仕組みでは、IDプロバイダーがメールアドレスの管理者を適切に確認していることが信頼関係の前提となる。外部アカウントを既存アカウントへ結び付ける場合には、既存アカウントのパスワード入力など、現在の所有者による追加確認を求めることが重要になる。

Dropboxは今回の問題を受け、Lenovo IDを使う場合にも既存のDropboxパスワードを入力させる方式に変更した。メールアドレスの一致だけでなく、既存アカウントを管理していることを別の認証手段で確かめる構成となる。

企業のIT管理者にとっては、現在利用されているSSOや外部ID連携を棚卸しし、使われなくなった旧来の連携が残っていないか確認する契機となる。新たなIDプロバイダーをアカウントへ関連付ける際に、既存アカウント側で追加認証や承認を求めているかも確認すべき点となる。

■Dropboxが認証連携を解除

Dropboxは問題の特定後、Lenovo IDを通じて認証されたすべてのセッションを失効させ、Lenovo IDとDropboxアカウントの既存の関連付けを解除した。さらに、Lenovo ID経由でアクセスする場合にもDropboxのパスワードを要求するようシステムを変更した。

同社は影響を受けた利用者へ通知するとともに、データ保護規制当局へ事案を報告した。公表後の時間外取引では、Dropbox株が約2.4％下落した。

■利用者が確認すべき設定

Dropboxから影響の通知を受け取った利用者は、通知に記載された案内に従い、Dropboxと登録メールアカウントのパスワードを変更したうえで、2要素認証を有効にする必要がある。

2要素認証はすべてのDropboxユーザーが利用できる。DropboxのWebサイトへログインし、アカウント設定の「セキュリティ」から有効にできる。認証アプリまたはSMSによる確認方法を選択可能で、復旧用コードも安全な場所に保存しておくことが望ましい。

通知の有無にかかわらず、不審なログインがないかを確認するには、同じセキュリティ設定画面でWebブラウザや端末のセッションを点検する。見覚えのないセッションがあればログアウトさせ、接続済みのアプリや共有リンクについても意図しない追加や変更がないか確認する。

企業やチームの管理者は、組織で有効になっている外部IDプロバイダーとSSO連携を確認し、不要な連携を停止するとともに、外部IDを既存アカウントへ関連付ける際の追加認証要件を見直す必要がある。

元記事: Dropbox Accounts Breached: Lenovo ID Email Flaw Bypassed Passwords for 17 Days