Dropbox informó que unos 5,000 usuarios sufrieron accesos no autorizados debido a un fallo en el proceso de verificación de correos de Lenovo. Los atacantes crearon IDs de Lenovo fraudulentos para entrar a cuentas de Dropbox sin necesidad de contraseña. Ambas empresas ya mitigaron el riesgo, y Dropbox ahora exige la contraseña original para autenticaciones mediante Lenovo.

Dropbox está advirtiendo a algunos usuarios que una parte no autorizada accedió a sus cuentas explotando un fallo en el proceso de verificación de correo electrónico de Lenovo para registrar IDs de Lenovo fraudulentos.

Aunque algunos de los usuarios afectados no tenían cuentas de Lenovo, el proveedor de almacenamiento en la nube afirmó que utiliza los Servicios de Proveedor de Identidad de Lenovo como parte de su infraestructura de autenticación. Esto permite a los usuarios iniciar sesión en las cuentas de Dropbox utilizando IDs de Lenovo verificados.

Según la notificación enviada a los usuarios afectados, el acceso no autorizado fue posible debido a "un problema con el proceso de verificación de correo electrónico de Lenovo", que "permitió que una parte no autorizada registrara un ID de Lenovo utilizando su dirección de correo electrónico".

El atacante utilizó entonces el ID de Lenovo fraudulento para acceder a la cuenta de Dropbox registrada bajo la misma dirección de correo electrónico sin necesidad de la contraseña de inicio de sesión.

El proceso de vinculación de identidad de Dropbox confió en la afirmación de Lenovo de que el atacante controlaba la dirección de correo electrónico sin requerir una confirmación a través del método de inicio de sesión existente de Dropbox.

“Aunque es posible que no tenga un ID de Lenovo existente, nuestra investigación determinó que un problema con el proceso de verificación de correo electrónico de Lenovo permitió que una parte no autorizada registrara un ID de Lenovo utilizando su dirección de correo electrónico y luego utilizara ese ID de Lenovo para iniciar sesión en la cuenta de Dropbox asociada a esa dirección de correo electrónico”.

Aviso de Dropbox a los usuarios afectados
Fuente: @yonilevy

Algunos usuarios de Dropbox informaron haber recibido notificaciones hace "aproximadamente dos semanas" sobre inicios de sesión sospechosos en Dropbox e inmediatamente cambiaron su contraseña y activaron la autenticación de dos factores (2FA).

"Una cosa extraña en ese momento: la página de inicio de sesión de Dropbox había empezado a ofrecer 'Continuar con SSO' para mi correo electrónico, a pesar de que nunca creé un ID de Lenovo", dijo el usuario xaphod en Hacker News.

La compañía de almacenamiento en la nube determinó que el atacante accedió a las cuentas de Dropbox de los usuarios entre el 4 y el 21 de agosto.

En un comunicado, Lenovo afirmó que el problema estaba relacionado con una integración heredada entre Lenovo ID y Dropbox, que podía aprovecharse "para autenticar incorrectamente ciertas cuentas de Dropbox".

"Tras identificar el problema, Dropbox y Lenovo trabajaron en colaboración para mitigar rápidamente el riesgo", dijo un portavoz de Lenovo.

La investigación sobre el incidente continúa, pero la empresa determinó que los clientes de Lenovo no se vieron afectados por el problema.

Dropbox respondió expirando todas las sesiones autenticadas a través de IDs de Lenovo y añadiendo un nuevo requisito de inicio de sesión que obliga a los usuarios a introducir la contraseña de su cuenta de Dropbox al intentar utilizar la autenticación de Lenovo ID.

Según Reuters, se accedió a aproximadamente 5.000 cuentas, y el hacker visualizó y descargó contenido de algunos usuarios.

Fuente:
BleepingComputer