Un problema en el sistema de verificación de Lenovo permitió a intrusos evadir contraseñas y entrar a cuentas de Dropbox mediante una integración heredada. La compañía confirma que en menos de un tercio de las cuentas comprometidas se consultaron o descargaron archivos.
Dropbox confirmó que unas 5.000 cuentas fueron objeto de accesos no autorizados entre el 4 y el 21 de agosto de 2026. Los intrusos consultaron o descargaron archivos en menos de un tercio de las cuentas comprometidas, según la información proporcionada por la empresa a Reuters y recogida también por el artículo de IT Pro. La identidad de los responsables no se conoce públicamente.
Una falla en la confianza entre servicios
El incidente se originó en una integración heredada que permitía acceder a Dropbox mediante Lenovo ID. Un problema en el proceso de verificación de correo de Lenovo hizo posible registrar un identificador con la dirección de otra persona y utilizarlo para entrar en la cuenta de Dropbox asociada a ese correo.
El mecanismo podía afectar incluso a usuarios que nunca habían creado un Lenovo ID. Las cuentas comprometidas no tenían activada la autenticación de dos factores, por lo que la identidad proporcionada por el servicio externo bastó para completar el acceso. La información disponible describe un abuso del sistema de autenticación federada, no una filtración general de contraseñas de Dropbox.
Dropbox cerró sesiones y eliminó vinculaciones
Dropbox cerró las sesiones autenticadas mediante Lenovo ID, eliminó las vinculaciones existentes entre ambos servicios y modificó el proceso para exigir la contraseña de Dropbox. La empresa notificó a los usuarios afectados y comunicó el incidente a las autoridades de protección de datos. Lenovo declaró que el problema estaba relacionado con una integración heredada y que su investigación continuaba, según declaraciones recogidas por BleepingComputer.
Medidas recomendadas para los usuarios
Quienes hayan recibido una notificación de Dropbox deben seguir las instrucciones incluidas en el mensaje y comprobar la seguridad del correo vinculado a la cuenta. Dropbox mantiene instrucciones oficiales para cambiar o restablecer la contraseña y para activar la autenticación en dos pasos. Esta última medida añade una comprobación adicional y reduce el riesgo de que una identidad o contraseña comprometida sea suficiente para acceder a los archivos.
Fuentes
- Reuters, versión sindicada por StreetInsider
- BleepingComputer
- Ayuda de Dropbox, autenticación en dos pasos
- Ayuda de Dropbox, cambio de contraseña
Ilustración creada por IA.
📬 Newsletter gratuito
