Za pristup Dropbox nalozima napadačima nije bila potrebna lozinka dovoljna je bila email adresa žrtve.
Napadi su trajali od 4. do 21. avgusta, a prema podacima Dropboxa, pogođeno je oko 5.000 naloga. Većina kompromitovanih naloga nije imala uključenu dvofaktorsku autentifikaciju.
Dropbox omogućava korisnicima da se prijave na svoje naloge pomoću verifikovanog Lenovo ID-ja. Međutim, propust u Lenovo sistemu omogućavao je napadačima da naprave Lenovo ID koristeći bilo koju email adresu, bez provere da li zaista imaju pristup toj adresi.
Napadač je tako mogao da napravi Lenovo ID sa email adresom žrtve, a Dropbox bi tu adresu povezao sa postojećim nalogom i omogućio prijavljivanje. Za napad nije bilo potrebno da žrtva prethodno ima Lenovo ID, niti su napadači morali da znaju njenu Dropbox lozinku.
Nakon što bi se prijavili na ovaj način, napadači su dobijali pun pristup Dropbox nalogu. Kompanija je saopštila da kod približno trećine od oko 5.000 kompromitovanih naloga postoje dokazi da su fajlovi pregledani ili preuzeti.
Dropbox je za problem saznao sredinom avgusta, nakon što su korisnici počeli da prijavljuju upozorenja o novim prijavljivanjima na svoje naloge. Najmanje jedan korisnik primjetio je i opciju za prijavljivanje preko SSO-a uz email adresu koja nikada nije bila povezana sa Lenovo ID nalogom.
Propust je u međuvremenu ispravljen, a Dropbox je zatvorio mogućnost ovakvih napada do 21. avgusta. Kompanija sada obavještava pogođene korisnike.
Incident pokazuje i rizik prijavljivanja na jedan servis preko naloga drugog provajdera. U ovom slučaju napadači nisu morali da ukradu ili pogode Dropbox lozinku već su iskoristili propust u sistemu kome je Dropbox vjerovao da potvrdi identitet korisnika, piše Informacija.
Bonus video
Saznajte sve o najvažnijim vijestima i događajima, pridružite se našoj Viber zajednici ili čitajte na Google News.