Dropbox約5000件が不正ログイン被害…Lenovo ID認証の穴突かれる

　米ドロップボックスのクラウドストレージサービス「Dropbox」で、ユーザーアカウント約5000件への不正アクセスが確認された。ブルームバーグは9月1日（米現地時間）、同社の説明を基に報じた。不正アクセスは8月4～21日に発生し、影響を受けたアカウントの3分の1未満では、保存ファイルが閲覧またはダウンロードされたという。ドロップボックスは、影響を受けたユーザーと規制当局への通知を済ませたとしている。


　侵入経路には、中国レノボ・グループの認証サービス「Lenovo ID」とDropboxを結ぶ認証連携が使われた。レノボ側のメールアドレス確認プロセスの問題により、第三者が別人のメールアドレスを使ってLenovo IDを登録し、そのIDで同じメールアドレスにひも付くDropboxアカウントへログインできたという。対象はLenovo ID経由で認証でき、Dropboxの2要素認証が有効になっていなかったアカウントだった。

　ドロップボックスは今回の不正アクセスが事業に重大な影響を与えるとは見込んでいない。ドロップボックスは問題を修正し、Lenovo ID経由で認証されていた既存のセッションを失効させたという。

　中国レノボ・グループも問題を認めている。レノボはLenovo IDとDropboxの旧来の連携により、一部のDropboxアカウントが不適切に認証され得る状態だったと説明した。両社は問題への対応を進め、レノボは自社顧客への影響はなかったとしている。調査は継続中だ。