In questo articolo Indice dei contenuti 3 sezioni
Chi utilizza Dropbox potrebbe aver trovato nella casella di posta una comunicazione tutt’altro che rassicurante: la società ha avvisato diversi utenti di un accesso non autorizzato ai loro account, avvenuto tra il 4 e il 21 agosto 2026. L’azienda sostiene che non ci siano prove di file visualizzati o scaricati, il che è una piccola consolazione. Il problema vero sta nel modo in cui tutto questo è potuto accadere, perché la dinamica dell’attacco era, senza troppi giri di parole, ampiamente evitabile.
All’origine ci sono due falle che si sono incastrate alla perfezione. Una riguarda Lenovo, l’altra riguarda direttamente Dropbox. Ed è la seconda a lasciare più perplessi, perché tocca un principio di sicurezza che dovrebbe essere ormai scontato.
Come funzionava l’accesso abusivo tramite Lenovo ID
Da tempo esiste una partnership che consente di entrare nel proprio account Dropbox usando un Lenovo ID, sfruttando il meccanismo del Single Sign On, quello che permette di fare login su un servizio con le credenziali di un altro. Comodo, certo. Peccato che il processo di verifica dell’indirizzo email lato Lenovo fosse aggirabile: chiunque poteva registrare un Lenovo ID indicando l’email di un’altra persona, senza dover mai dimostrare di avere accesso a quella casella.
Da lì in poi la strada era spianata. Bastava cliccare su “Continua con Lenovo” nella schermata di login di Dropbox. Il sistema Lenovo generava un token di autenticazione contenente l’indirizzo email della vittima, e Dropbox lo accettava così com’era. Nessuna password richiesta, nessuna conferma via email, nemmeno un avviso del tipo “un nuovo metodo di accesso è stato collegato al tuo account”. L’archivio si apriva e basta.
Un dettaglio che racconta molto della natura industriale dell’operazione: uno degli utenti colpiti, dopo aver recuperato il controllo, ha scoperto che il profilo Lenovo fasullo collegato al suo account portava il nome “John Madden”, lo storico commentatore del football americano. Un nome messo lì tanto per riempire il campo, segno evidente di registrazioni fatte in blocco, in fretta e senza troppa attenzione ai particolari.
Perché bastavano gli indirizzi email per entrare
Il punto scomodo è che per portare a termine l’attacco non serviva nulla di sofisticato. Serviva soltanto un elenco di indirizzi email associati ad account Dropbox, materiale che circola con estrema facilità. Le email sono ormai dati praticamente pubblici: compaiono nei database di violazioni precedenti, su LinkedIn e su altri social, nelle liste clienti che girano un po’ ovunque. Basta provare in quantità e qualche corrispondenza salta fuori.
La società ha corretto la vulnerabilità e ha invalidato tutte le sessioni autenticate tramite Lenovo ID. Resta però una domanda che pesa: per quale motivo non veniva chiesta una conferma con le credenziali già esistenti prima di collegare un nuovo metodo di accesso? È una precauzione elementare, il genere di controllo che un servizio con quella base utenti dovrebbe dare per scontato. E non è la prima volta che un nome noto viene colto a risparmiare proprio sulle verifiche aggiuntive, in un periodo in cui i data breach si susseguono con una certa regolarità.
Il nodo dei sistemi di autenticazione esterni
I sistemi di Single Sign On hanno il pregio di semplificare la vita, questo è indubbio. Il rovescio della medaglia è che ogni anello debole della catena si trasforma in una porta d’ingresso. Quando un servizio accetta senza discutere il token emesso da un provider esterno, la protezione dell’intero account finisce di fatto nelle mani di qualcun altro. La sicurezza informatica smette di essere una questione interna e diventa una scommessa sulla solidità dei partner.
Il caso Dropbox mostra bene quanto sia sottile il confine tra comodità e rischio: un token accettato ciecamente ha reso del tutto irrilevanti le password degli utenti, per lunghe due settimane e mezzo di agosto.
