लेनोवो आईडी को सत्यापन कोड के बिना पंजीकृत किया जा सकता है, जिसके परिणामस्वरूप बड़ी संख्या में ड्रॉपबॉक्स खाते हैकर्स द्वारा एक्सेस किए जा सकते हैं

सार:

हाल ही में, कई ड्रॉपबॉक्स नेटवर्क डिस्क उपयोगकर्ताओं को सुरक्षा सूचनाएं प्राप्त हुईं जिनमें कहा गया था कि उनके खाते 4 और 21 अगस्त, 2026 के बीच अनधिकृत पहुंच के अधीन थे। यह सुरक्षा समस्या ड्रॉपबॉक्स के बुनियादी ढांचे पर हैकर के हमले के कारण नहीं हुई थी। विशिष्ट कारण लेनोवो आईडी पंजीकरण और ड्रॉपबॉक्स एसएसओ लॉगिन में विश्वास भेद्यता था।

ड्रॉपबॉक्स को संभालने के लिए आपको केवल अपना ईमेल पता जानना होगा:

अब तक सामने आई हमले की श्रृंखला के अनुसार, लेनोवो आईडी पंजीकरण प्रक्रिया में एक ईमेल सत्यापन दोष है। हमलावर लेनोवो खाता बनाने के लिए पीड़ित के ईमेल पते का उपयोग कर सकता है, और यह सत्यापित करने के लिए ईमेल सत्यापन कोड भेजने की कोई आवश्यकता नहीं है कि ईमेल पता वास्तव में पंजीकरणकर्ता के स्वामित्व में है या नहीं।

ड्रॉपबॉक्स एसएसओ लॉगिन तंत्र द्वारा समस्या को तब बढ़ाया गया था। ड्रॉपबॉक्स लेनोवो द्वारा प्रदान की गई ईमेल पहचान के आधार पर मौजूदा खातों से मिलान करेगा। इसलिए, हमलावर द्वारा नकली लेनोवो आईडी के साथ लॉग इन करने के बाद, वह खाता पासवर्ड और अन्य सत्यापन की आवश्यकता के बिना सीधे संबंधित ड्रॉपबॉक्स खाते पर पूर्ण नियंत्रण प्राप्त कर सकता है।

इससे भी अधिक गंभीर बात यह है कि पीड़ित को पहले लेनोवो आईडी पंजीकृत करने या ड्रॉपबॉक्स खाता बाध्य करने की भी आवश्यकता नहीं थी। ड्रॉपबॉक्स का लेनोवो के साथ दीर्घकालिक क्लाउड स्टोरेज सहयोग है, और लेनोवो उपयोगकर्ता संबंधित सेवाओं के माध्यम से ड्रॉपबॉक्स खरीद और उपयोग कर सकते हैं।

ड्रॉपबॉक्स ने एक सत्र लॉगआउट को मजबूर कर दिया है और लॉगिन प्रक्रिया को संशोधित किया है:

ड्रॉपबॉक्स ने जांच के बाद लेनोवो आईडी के माध्यम से स्थापित सभी सत्रों को लॉग आउट कर दिया है, और प्रभावित खातों को लेनोवो आईडी से अलग कर दिया है। यदि उपयोगकर्ता लेनोवो आईडी के माध्यम से एक्सेस जारी रखना चाहते हैं, तो उन्हें अब सत्यापन के लिए अपने ड्रॉपबॉक्स खाते का पासवर्ड दर्ज करना होगा और अब वे सीधे लॉग इन नहीं कर सकते हैं।

ऑडिट में पाया गया कि हमले की विंडो के दौरान हैकर्स द्वारा कुछ खातों तक पहुंच बनाई गई थी, लेकिन ड्रॉपबॉक्स ने कहा कि मौजूदा लॉग में इस बात का कोई सबूत नहीं मिला कि उपयोगकर्ता फ़ाइलों को देखा या डाउनलोड किया गया था। इसके अलावा, लेनोवो ने अभी तक सुरक्षा बुलेटिन में इस घटना का खुलासा नहीं किया है।