الملخص:
في الآونة الأخيرة، تلقى العديد من مستخدمي قرص شبكة Dropbox إشعارات أمنية تفيد بأن حساباتهم خضعت للوصول غير المصرح به في الفترة من 4 إلى 21 أغسطس 2026. ولم تكن مشكلة الأمان هذه ناجمة عن هجوم قراصنة على البنية التحتية لـ Dropbox. كان السبب المحدد هو ثغرة الثقة في تسجيل معرف Lenovo وتسجيل الدخول إلى Dropbox SSO.
ما عليك سوى معرفة عنوان بريدك الإلكتروني لتتمكن من إدارة Dropbox:
وفقًا لسلسلة الهجوم التي تم الكشف عنها حتى الآن، يوجد خلل في التحقق من البريد الإلكتروني في عملية تسجيل معرف Lenovo. يمكن للمهاجم استخدام عنوان البريد الإلكتروني للضحية لإنشاء حساب Lenovo، وليست هناك حاجة لإرسال رمز التحقق من البريد الإلكتروني للتحقق مما إذا كان عنوان البريد الإلكتروني مملوكًا بالفعل لصاحب التسجيل.
تم تضخيم المشكلة بعد ذلك من خلال آلية تسجيل الدخول إلى Dropbox SSO. سيطابق Dropbox الحسابات الحالية بناءً على هوية البريد الإلكتروني المقدمة من Lenovo. لذلك، بعد أن يقوم المهاجم بتسجيل الدخول باستخدام معرف Lenovo مزيف، يمكنه مباشرة التحكم الكامل في حساب Dropbox المقابل دون الحاجة إلى كلمات مرور الحساب وعمليات التحقق الأخرى.
والأمر الأكثر خطورة هو أن الضحية لم تكن بحاجة حتى إلى تسجيل معرف Lenovo أو ربط حساب Dropbox من قبل. لدى Dropbox تعاون طويل الأمد في مجال التخزين السحابي مع Lenovo، ويمكن لمستخدمي Lenovo شراء Dropbox واستخدامه من خلال الخدمات ذات الصلة.
لقد فرض Dropbox تسجيل الخروج من الجلسة وقام بتعديل عملية تسجيل الدخول:
قام Dropbox بتسجيل الخروج من جميع الجلسات التي تم إنشاؤها من خلال معرف Lenovo بعد التحقيق، كما قام أيضًا بفصل الحسابات المتأثرة عن معرف Lenovo. إذا أراد المستخدمون الاستمرار في الوصول من خلال معرف Lenovo، فسيحتاجون الآن إلى إدخال كلمة مرور حساب Dropbox الخاصة بهم للتحقق ولم يعد بإمكانهم تسجيل الدخول مباشرة.
وجدت عملية التدقيق أنه تم الوصول إلى بعض الحسابات من قبل المتسللين أثناء نافذة الهجوم، لكن Dropbox قال إن السجلات الحالية لم تجد أي دليل على أنه تم عرض ملفات المستخدم أو تنزيلها. بالإضافة إلى ذلك، لم تكشف لينوفو بعد عن هذا الحادث في نشرة أمنية.
التعليقات