Dropboxは2026年9月1日、一部利用者のアカウントがレノボの認証連携「Lenovo ID」を経由した不正アクセスを受けていたと明らかにした。対象は約5,000件で、レノボ製端末向けに提供していたクラウドストレージ連携プログラムの利用者が標的になった。
何が起きたか #
原因はレノボ側のメールアドレス確認プロセスの不備だ。第三者が他人のメールアドレスを使ってLenovo IDを新規登録でき、その偽アカウントで同じメールアドレスに紐づくDropboxアカウントへログインできてしまった。2026年8月4日から21日の間に侵害が発生し、標的は「Lenovo IDと連携済みで2要素認証(2FA)を未設定」のアカウントに限られていた。約3分の1でファイルの閲覧・ダウンロードが確認されている。
1. なりすまし登録
他人のメールアドレスで
Lenovo IDを新規登録。確認プロセスの不備で通ってしまう。2. SSOログイン
同じメールに紐づくDropboxアカウントへ、Lenovo ID経由でログイン可能に。
3. 侵入成功
2FA未設定なら追加確認なしでそのままアカウントへ到達。
信頼の連鎖が壊れた典型例 #
これは単体の脆弱性というより、識別子(メールアドレス)の所有証明という認証の大前提が連携先側で崩れていたケースだ。DropboxはLenovoをIDプロバイダとして信頼していたが、その土台の検証が甘かった。SSO/フェデレーション認証は利便性と引き換えに、連携先の実装品質がそのまま自社の攻撃対象領域になる。IdP選定時は自社の実装だけでなく、相手側のメール確認フローまで検証範囲に含めるべきだという教訓が残る。
効いた対策は結局MFA
Dropboxは全セッション終了・連携解除・ログイン前パスワード必須化で対応したが、被害の有無を分けたのは2要素認証の有無だった。連携先の不備は外部から事前に検知しづらい以上、自社側のMFA必須化が最後の防波堤になる。
COMMENTS 0
No comments yet — be the first to leave one.