Security · 2.9.2026
Eine Schwachstelle im Registrierungsprozess von Lenovo ermöglichte es Angreifern, unbefugten Zugriff auf verknüpfte Dropbox-Konten zu erlangen.
Unbefugte Dritte haben Zugriff auf eine Reihe von Dropbox-Konten erlangt. Dies geschah durch das Ausnutzen einer Sicherheitslücke im E-Mail-Verifizierungsprozess von Lenovo, über die betrügerische Lenovo-IDs erstellt wurden. Dropbox hat betroffene Nutzer bereits über den Vorfall informiert und entsprechende Sicherheitsmaßnahmen eingeleitet.
Viele Unternehmen im DACH-Raum setzen sowohl auf Hardware von Lenovo als auch auf Cloud-Speicherlösungen wie Dropbox. Die Verknüpfung von Konten verschiedener Anbieter über Single Sign-On (SSO) oder OAuth-Schnittstellen erhöht zwar den Komfort, birgt jedoch auch erhebliche Sicherheitsrisiken. Wenn der Registrierungs- oder Verifizierungsprozess eines Drittanbieters wie Lenovo fehlerhaft ist, können Angreifer diese Vertrauensstellung ausnutzen. Im konkreten Fall konnten sich Angreifer durch die Schwachstelle fälschlicherweise als legitime Besitzer von E-Mail-Adressen ausgeben und so Zugriff auf die damit verbundenen Dropbox-Konten erhalten. Dies zeigt eindringlich, dass die Sicherheit von Unternehmensdaten nicht nur vom eigenen Sicherheitskonzept abhängt, sondern maßgeblich von der Integrität der gesamten Lieferkette und aller verknüpften Identitätsdienste beeinflusst wird.
Administratoren und betroffene Nutzer sollten unverzüglich folgende Maßnahmen ergreifen:
Der Vorfall unterstreicht die Notwendigkeit einer kontinuierlichen Überwachung von Identitäts- und Zugriffsberechtigungssystemen (IAM). IT-Verantwortliche müssen sich der Risiken bewusst sein, die durch die Integration von Drittanbieter-Identitäten entstehen, und strenge Richtlinien für die Verknüpfung von Cloud-Diensten durchsetzen.
Quelle: BleepingComputer