In questo articolo Indice dei contenuti 2 sezioni
Una vulnerabilità nel sistema di verifica delle email di Lenovo ha aperto la porta a circa 5.000 account Dropbox, e il meccanismo dell’intrusione è tanto semplice quanto fastidioso. Tutto si è consumato tra il 4 e il 21 agosto, con accessi non autorizzati che l’azienda californiana ha rilevato analizzando i propri log. Gli utenti coinvolti hanno ricevuto una comunicazione via email in cui viene spiegato cosa è andato storto e quali passi conviene seguire per rimettere in sicurezza il proprio profilo.
Il punto debole non stava in Dropbox, ma nel processo di autenticazione esterno. Dropbox, infatti, permette di entrare nel proprio account usando un Lenovo ID verificato, una comodità che in questo caso si è trasformata in un problema. Sfruttando la falla nella verifica degli indirizzi di posta elettronica, alcuni cybercriminali hanno registrato un Lenovo ID utilizzando l’email di altre persone e con quelle credenziali sono poi entrati nell’account Dropbox collegato allo stesso indirizzo. Niente password rubate, niente forzature brutali, solo una porta laterale rimasta aperta.
Colpiti anche utenti che non hanno mai usato un Lenovo ID
L’aspetto più spiazzante di questa vulnerabilità Lenovo riguarda proprio chi non ha mai avuto nulla a che fare con i servizi dell’azienda. Non serviva possedere un Lenovo ID per essere esposti, bastava che qualcuno lo creasse a nome dell’indirizzo email associato al proprio account cloud. Un dettaglio che allarga il perimetro del problema ben oltre la platea dei clienti Lenovo e che spiega perché la comunicazione sia arrivata anche a persone convinte di non essere in alcun modo coinvolte. Sui numeri, il conteggio parla di circa 5.000 account interessati, e i cybercriminali hanno visualizzato i file in circa un terzo dei casi. Per il resto, l’analisi dei registri di attività non ha evidenziato movimenti particolari, nessuna visualizzazione anomala e nessun download massiccio di documenti. Lo scopo reale dell’intrusione, a oggi, resta senza una spiegazione chiara, e questo è forse l’elemento che lascia più perplessi tra quelli emersi finora.
Sessioni chiuse e associazioni tagliate, cosa fare adesso
Sul piano operativo la risposta è stata piuttosto netta. Tutte le sessioni di login effettuate tramite Lenovo ID sono state chiuse, e l’associazione tra gli account Dropbox e quelli Lenovo è stata interrotta. Il risultato pratico è che oggi non è più possibile entrare in un profilo Dropbox usando un Lenovo ID senza digitare anche la password Dropbox, il che chiude di fatto la scorciatoia sfruttata dagli attaccanti durante quelle due settimane e mezzo di agosto.
Ai diretti interessati vengono suggerite tre mosse, in ordine di importanza crescente. La prima è cambiare la password dell’account Dropbox. La seconda, spesso trascurata, è modificare anche quella della casella email collegata, perché è proprio l’indirizzo di posta il perno su cui ha girato tutto l’attacco. La terza, la più rilevante, è attivare l’autenticazione in due fattori, che negli account compromessi risultava disattivata. Con un secondo fattore attivo, la registrazione fraudolenta di un Lenovo ID non sarebbe stata sufficiente a completare l’accesso.
Vale la pena sottolineare come questo tipo di incidente non nasca da una debolezza dei server di archiviazione, ma dalla fiducia reciproca tra due servizi diversi. Il single sign on, cioè la possibilità di usare un’unica identità digitale per entrare in piattaforme differenti, riduce il numero di password da ricordare e nello stesso tempo concentra il rischio in un solo punto. Se il servizio che certifica l’identità sbaglia a verificare un’email, l’errore si propaga a valle, e chi si trova a subirne le conseguenze non ha alcuno strumento per accorgersene in tempo. La finestra temporale dell’attacco, dal 4 al 21 agosto, e il numero di profili raggiunti restano i dati concreti su cui si misura la portata dell’episodio, insieme a quel terzo di account in cui i file sono stati effettivamente aperti.
