Hackean más de 5.000 cuentas de Dropbox: atacantes solo necesitaron las direcciones de correo electrónico

Dropbox comenzó a notificar esta semana a un número no especificado de usuarios que sufrieron un acceso no autorizado a sus cuentas, luego de que atacantes explotaran una falla en el sistema de autenticación de terceros de Lenovo. Según la compañía, la brecha ocurrió entre el 4 y el 21 de agosto y afectó a unas 5.000 cuentas.

El método utilizado por los atacantes no requería contraseñas ni credenciales robadas: bastaba con conocer la dirección de correo electrónico de la víctima. Con ese dato, los responsables crearon una identificación de Lenovo (Lenovo ID) y la asociaron a la cuenta de Dropbox correspondiente, lo que les permitió iniciar sesión sin necesidad de ningún otro dato de acceso.

Un fallo en el sistema de identidad

“Dropbox trabaja con Lenovo como proveedor de identidad para que los usuarios puedan iniciar sesión en sus cuentas de Dropbox mediante Lenovo IDs verificadas”, explicó la compañía en una carta enviada a las víctimas y publicada en la red social X, en la que detalló el mecanismo del ataque.

De acuerdo con un informe publicado por The CyberSec Guru, la falla de autenticación de Lenovo permitía registrar identificaciones con cualquier dirección de correo electrónico, sin verificar si esa persona controlaba realmente la casilla. Esto significa que las víctimas no necesitaban tener una cuenta previa de Lenovo para que los atacantes lograran acceder a su información en Dropbox.

Dropbox indicó que ya corrigió el error y que, tras contener el incidente e iniciar una investigación interna, cerca de un tercio de las 5.000 cuentas comprometidas muestra indicios de que sus archivos fueron vistos o descargados. La mayoría de las cuentas afectadas no tenía habilitada la autenticación de dos factores.

Usuarios detectaron la anomalía antes que la empresa

Según el informe, Dropbox descubrió el problema después de que varios usuarios comenzaran a reportar, a mediados de agosto, alertas de “nuevo inicio de sesión” en sus cuentas. Al menos un usuario notó la aparición de una opción “Continuar con SSO” vinculada a una dirección de correo que nunca había asociado a una cuenta de Lenovo.

Otros afectados detectaron perfiles falsos de Lenovo creados con nombres ficticios, entre ellos uno registrado como “John Madden”. En ese caso, el investigador de seguridad Yoni Levy, dueño de la cuenta real, logró recuperar y desactivar el perfil fraudulento mediante el proceso estándar de restablecimiento de contraseña, ya que el enlace de recuperación llegó directamente a su casilla legítima.

Además de las alertas de inicio de sesión —una de ellas rastreada en las cercanías de Dublín, Irlanda—, varios usuarios reportaron haber recibido códigos de verificación de Lenovo que nunca solicitaron.

Reclamos por la demora en la notificación

Aunque Dropbox cerró la ventana de ataque el 21 de agosto, numerosos usuarios expresaron en redes sociales su malestar por el tiempo que tardó la empresa en emitir las primeras alertas, casi una semana después del cierre del incidente. Otros usuarios señalaron que los registros de acceso, por sí solos, no permiten determinar con certeza si los documentos almacenados fueron efectivamente consultados.

“Algunos usuarios afectados tenían documentos fiscales de años atrás almacenados en Dropbox, lo que significa que números de seguro social y registros financieros estuvieron dentro de la ventana de compromiso, sin importar lo que muestren los registros actuales”, señaló The CyberSec Guru en su reporte.

Uno de los usuarios que recibió la carta de notificación escribió: “Dropbox está perma-baneado de mi vida y de cualquiera que me pida consejo. Increíble”.

Las medidas que tomó la empresa

Dropbox informó que, entre las acciones de contención, expiró de inmediato todas las sesiones iniciadas a través de Lenovo IDs y eliminó cualquier vínculo entre Lenovo y las cuentas de Dropbox afectadas. A partir de ahora, los usuarios deberán ingresar su contraseña de Dropbox antes de poder iniciar sesión mediante una Lenovo ID.

“Nadie puede acceder a tu cuenta de Dropbox a través de una Lenovo ID sin ingresar primero tu contraseña de Dropbox”, afirmó la compañía. Asimismo, recomendó a los usuarios afectados cambiar la contraseña de su cuenta de Dropbox, modificar también la contraseña de su cuenta de correo electrónico y activar la verificación en dos pasos como medida adicional de seguridad.

“Proteger tu cuenta e información es extremadamente importante para nosotros”, concluyó Dropbox, que puso a disposición de los usuarios afectados un correo electrónico para consultas adicionales.