DropboxのLenovo IDによるサインイン連携を通じた不正アクセス
- カテゴリ
- 不正アクセス
9to5Macが引用したDropboxの通知のメールでは、2026年8月4日から8月21日までの間に、第三者がLenovo IDを使って利用者のDropboxアカウントへ不正にアクセスした［2］。Dropboxの広報はDecryptに、影響を受けたアカウントは約5000件だったと説明した［1］。
経緯
Dropboxの通知のメールによると、DropboxはLenovoをIDプロバイダーとして提携し、確認済みのLenovo IDでDropboxアカウントにログインできるようにしている［2］。Dropboxの調査では、Lenovoのメールアドレス確認の処理の問題により、第三者が利用者のメールアドレスでLenovo IDを登録し、そのLenovo IDで同じメールアドレスのDropboxアカウントにログインできた［2］。受け取った利用者が既存のLenovo IDを持っていない場合にも、この登録とログインは成り立った［2］。
Dropboxのヘルプセンターの案内では、Lenovoの顧客は「Lenovo | Dropbox Cloud Storage」としてDropboxの新しいプランを購入でき、購入はLenovoを通じてだけ行える［11］。Lenovoと子会社（NEC、Medion、FCCL）の端末は、2015年より後の購入ならすべて対象となる［11］。
The Hacker Newsの記事では、Lenovoは、問題がLenovo IDとDropboxの間の「legacy integration」（旧来の連携）に関するもので、一部のDropboxアカウントを不適切に認証するのに使われうるものだったと説明した［7］。
Decryptは、通知を受けたある利用者に、8月18日6時6分（現地時刻）の新しいブラウザのサインインを知らせるDropboxの警告が届いていたと報じた［1］。接続元は英国イングランドのカナリー・ワーフ付近と表示され、ログインにはWindows上のChromeが使われた［1］。この利用者は、Lenovoのアカウントを持ったことがなく、英国にも行っていないと話した［1］。
CyberInsiderの記事では、一部の利用者が、通知の約2週間前に見慣れないログインの警告をDropboxから受けていたと述べた［4］。Lenovo IDを作ったことがないのに、自分のメールアドレスで「Continue with SSO」の選択肢が表示され始めたと述べた利用者もいた［4］。
影響範囲
Dropboxの広報はDecryptに、不正なアクセスを特定したのは、Lenovo IDで連携し、Dropboxの2要素認証を有効にしていなかったアカウントだと説明した〔注2〕［1］。影響を受けたアカウントの3分の1未満で、ファイルが閲覧またはダウンロードされた〔注1〕［1］。Dropboxからのメールを受け取っていない利用者のアカウントは、影響を受けていない［1］。
9to5Macが本文を引用した通知のメールには、ログにはファイルが閲覧・ダウンロードされた証拠は無いと書かれていた［2］。
財経新聞は、ファイルの閲覧・ダウンロードがあったアカウントを除く残りのアカウントについて、不正なログインは確認されたが、閲覧・ダウンロードの証拠は確認されていないと報じた［8］。暗号資産関連の企業の共同創業者が、自身のDropboxアカウントに侵入され、保存していたファイルへのアクセスを試みられたと明らかにしたと報じた［8］。そのファイルは、アップロードの前に端末で暗号化されていた［8］。
対応と現状
Hackreadの記事では、Dropboxは8月31日に影響を受けた利用者への通知を始めた［6］。Lenovoは、調査が続いているとした［6］。
財経新聞の記事によると、Dropboxは9月1日にアカウントの侵害を明らかにした［8］。
Dropboxの広報はDecryptに、影響を受けた利用者全員に直接メールを送ったと説明した［1］。アカウントの活動に疑問のある顧客には、サポートチームへの問い合わせを求めた［1］。
IT Proの記事では、Dropboxの広報が、影響を受けたと把握した利用者にメールを送って支援を申し出たうえ、関係するデータ保護の規制当局に報告したと説明した〔注3〕［10］。
TechRadarが伝えた説明では、DropboxはLenovo IDでログインしたすべてのセッションを直ちに失効させ、LenovoとDropboxのアカウントの間の関連付けをすべて解除した〔注4〕［3］。先にDropboxのパスワードを入力しない限り、Lenovo IDではDropboxアカウントにアクセスできない［3］。利用者には、パスワードの変更、2段階認証の有効化、メールアカウントのパスワードの変更を促した［3］。
Bitdefenderのブログは、LenovoがBleepingComputerに、自社の顧客とシステムは影響を受けていないと説明したと伝えた［9］。問題を特定した後、DropboxとLenovoが協力して直ちにリスクを緩和したとも述べた［9］。
未公表の事項
- Lenovoのメールアドレス確認の処理の問題の技術的な内容と、Lenovo側で直した時期
- 攻撃者とその帰属、アカウントが狙われたのか自動的に見つけられたのか
- 閲覧・ダウンロードされたファイルの内容と、その悪用の有無
- 影響を受けた利用者の人数と、国・地域別の内訳
- 報告先のデータ保護の規制当局の名前
注
出典
報道機関
- ［1］Decrypt Media『Dropbox Security Breach: Hackers Access Accounts Through Authentication Flaw』（2026年9月1日公開）
- ［2］9to5Mac『Dropbox breach seemingly caused by egregious authentication failure [U]』（2026年9月2日公開）
- ［3］Future plc『Over 5,000 Dropbox accounts have been hacked, and the attackers only needed an email address』（2026年9月2日公開）
- ［4］CyberInsider『Lenovo ID flaw let attackers access Dropbox accounts without passwords』（2026年9月2日公開）
- ［5］The Next Web『Dropbox says 5,000 accounts were breached through a Lenovo login』（2026年9月2日公開）
- ［6］Hackread『Hackers Accessed 5,000 Dropbox Accounts Through Lenovo ID Flaw』（2026年9月3日公開）
- ［7］The Hacker News『ThreatsDay: CEO Phishing Kits, 5K Dropbox Account Hacks, OAuth Traps + 17 More Stories』（2026年9月3日公開）
- ［8］株式会社財経新聞社『Dropbox約5,000アカウントに不正アクセス、Lenovo IDの認証連携を悪用』（2026年9月3日公開）
- ［9］Bitdefender SRL『How a hole in Lenovo's login system let hackers walk into 5,000 Dropbox accounts』（2026年9月7日公開）
- ［10］Future plc『Everything we know about the Dropbox breach so far』（2026年9月3日公開）
背景資料
- ［11］Dropbox, Inc.『Lenovo | Dropbox Cloud Storage: an overview』（2025年6月18日公開）
更新記録
- 2026年9月5日：公開した。
- 2026年9月7日：Bitdefender SRLのブログの9月7日の記事（出典9）で伝えられたLenovoの説明を「対応と現状」に加えた。