Dropbox 与联想 ID 漏洞可让攻击者通过邮件劫持账户

sec随谈
sec随谈

sec随谈

2026年9月3日 09:07
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

近期，大量 Dropbox 用户收到安全通知，被告知其账户在 2026 年 8 月 4 日至 21 日期间遭到未经授权的访问。此次事件并非 Dropbox 基础设施遭到入侵，真正的根源令人意外——是联想 ID 注册流程与 Dropbox SSO 登录机制之间的信任缺陷。

仅凭一个邮件地址即可劫持 Dropbox 账户

根据已披露的攻击链，联想 ID 注册流程存在邮箱验证缺陷：攻击者可以使用受害者的邮件地址注册联想账户，而无需接收任何验证码来确认该地址的真实归属。

这一问题随后被 Dropbox 的 SSO 登录机制进一步放大——Dropbox 直接根据联想提供的邮件身份匹配现有账户。因此，攻击者在使用伪造的联想 ID 登录后，无需密码或任何其他验证，即可完全控制对应的 Dropbox 账户。受影响的开发者 Yoni Levy 分享了通知截图，并指出自己从未注册过联想账户。

更为严重的是，受害者此前甚至无需注册联想 ID 或主动关联 Dropbox 账户。Dropbox 与联想长期维持着云存储合作关系，允许联想用户通过相关服务购买和使用 Dropbox。安全研究人员的讨论也指出，Dropbox 在接受新的 SSO 关联请求前，从未对现有账户进行验证，因此责任并不全在联想一方。

Dropbox 已撤销会话并变更登录流程

经过调查，Dropbox 已撤销所有通过联想 ID 建立的会话，并切断了受影响账户与联想 ID 之间的关联。希望继续通过联想 ID 访问账户的用户，现在必须输入 Dropbox 密码进行验证，不再支持直接登录。

审计发现，部分账户在攻击窗口期内已遭攻击者访问。Dropbox 表示，受影响账户中有文件被查看或下载的比例不足三分之一。截至目前，联想尚未就此事件发布任何安全公告。

参考链接：

https://x.com/yonilevy/status/2094521566826541248