In questo articolo Indice dei contenuti 3 sezioni
Diversi utenti di Dropbox si sono ritrovati in casella di posta una comunicazione poco rassicurante: qualcuno è entrato nei loro account senza permesso, tra il 4 e il 21 agosto 2026. La società di cloud storage parla di accessi non autorizzati e, stando ai suoi log, nessun file sarebbe stato visualizzato o scaricato. Ma il modo in cui l’intrusione è avvenuta è la parte che fa alzare più di un sopracciglio, perché non c’entrano password rubate o malware sofisticati. C’entra un meccanismo di login che, semplicemente, non ha chiesto nulla a nessuno. A rendere pubblica la vicenda è stato lo sviluppatore Yoni Levy, che ha condiviso su X il testo della mail ricevuta. Il messaggio spiega che l’azienda ha osservato accessi non autorizzati all’account nel periodo indicato, che i registri interni non mostrano tracce di file consultati o scaricati e che vengono descritti sia l’accaduto sia le contromisure adottate. Altri utenti hanno confermato di aver ricevuto la stessa identica comunicazione.
Il problema nasce dal single sign on con Lenovo ID
Il punto di partenza è una partnership: Dropbox collabora con Lenovo come fornitore di identità, così chi possiede un Lenovo ID verificato può usarlo per accedere al proprio spazio cloud senza digitare la password. Comodo, sulla carta. Nella pratica, l’indagine ha stabilito che un problema nel processo di verifica delle email lato Lenovo ha permesso a un soggetto non autorizzato di registrare un Lenovo ID usando l’indirizzo email di un’altra persona, per poi sfruttarlo ed entrare nell’account Dropbox collegato a quello stesso indirizzo.
Tradotto: non serviva avere accesso alla casella di posta della vittima. Bastava conoscerne l’indirizzo, che è un dato praticamente pubblico. Gli attaccanti hanno costruito le liste di bersagli pescando da archivi di vecchie violazioni, da LinkedIn, da elenchi clienti. Poi hanno registrato profili in massa. Un utente che è riuscito a riprendere possesso dell’account fasullo creato con il proprio indirizzo ha trovato come nome visualizzato “John Madden”, il telecronista americano scomparso, segnale piuttosto eloquente di registrazioni fatte a raffica e senza troppa cura.
Il vero anello debole sta nel collegamento automatico degli account
Qui arriva la parte più discutibile. Una volta creato il profilo fasullo, bastava cliccare su “Continua con Lenovo” nella pagina di accesso di Dropbox. Il server di autorizzazione emetteva un token contenente l’indirizzo email, Dropbox riconosceva quell’indirizzo come corrispondente a un account già esistente e apriva la sessione. Senza chiedere la password. Senza una verifica aggiuntiva. Senza nemmeno un banale “vuoi collegare questa nuova identità al tuo account?”. Dal punto di vista del sistema, un fornitore di identità considerato affidabile aveva già garantito per quell’indirizzo, e tanto bastava.
È il cosiddetto collegamento implicito degli account, e rappresenta una falla di autenticazione parecchio grossolana. Perché sì, la verifica delle email mancante o aggirabile lato Lenovo è un difetto reale, ma da sola non avrebbe combinato granché. Se Dropbox avesse chiesto conferma tramite le credenziali già in uso prima di associare una nuova identità esterna, l’intera catena si sarebbe interrotta al primo anello. Non averlo fatto è un errore pesante, di quelli che nella progettazione di un sistema di single sign on non dovrebbero proprio comparire.
Cosa è stato fatto dopo la scoperta
L’azienda ha corretto il difetto e ha invalidato tutte le sessioni che in precedenza risultavano “autenticate” tramite un Lenovo ID. Chi aveva subito l’accesso indebito si è quindi ritrovato con i collegamenti chiusi d’ufficio, mentre la sicurezza del meccanismo di accesso federato è stata rivista.
La finestra temporale resta quella comunicata agli utenti, dal 4 al 21 agosto 2026, e la posizione ufficiale ribadisce che nei registri non compaiono evidenze di file aperti o scaricati durante gli accessi non autorizzati.
