Dropbox stuurde eind augustus 2026 een opvallende mail naar een groep gebruikers. Het bedrijf meldde daarin ongeautoriseerde toegang tot hun account. Het lek ontstond door een ontbrekende controle bij het inloggen via een externe partner. Tussen 4 en 21 augustus 2026 verschaften onbevoegden zich toegang tot accounts. Volgens de logboeken bekeken of downloadden zij geen bestanden. Dropbox legde in de mail uit wat er gebeurde en welke maatregelen volgden. Ontwikkelaar Yoni Levy plaatste een kopie van dat bericht op X. Daarna meldden meer gebruikers dat zij precies dezelfde tekst ontvingen. De zaak draait om single sign-on, in de techniek afgekort tot SSO. Die inlogmethode blijkt hier de zwakke plek. Miljoenen mensen gebruiken zo’n knop dagelijks zonder erbij stil te staan.
Dropbox werkt samen met Lenovo als identiteitsleverancier. Gebruikers kunnen daardoor inloggen met een geverifieerde Lenovo ID. Bij single sign-on geeft een enkele identiteit toegang tot meerdere diensten. Het gemak voor de gebruiker is groot, maar de afhankelijkheid ook. De constructie leunt namelijk volledig op vertrouwen tussen twee bedrijven. Dropbox nam aan dat Lenovo elk e-mailadres netjes controleerde. Dat vertrouwen bleek misplaatst. Uit het onderzoek kwam naar voren dat de verificatie bij Lenovo faalde. Aanvallers konden daardoor een Lenovo ID aanmaken op een willekeurig e-mailadres. Toegang tot de bijbehorende mailbox hadden zij niet nodig. Ook mensen zonder Lenovo-account liepen dus risico. Juist dat detail maakt het incident zo breed. Wie nooit iets met Lenovo deed, kon alsnog slachtoffer worden. Alleen het e-mailadres telde. Dat maakt de groep mogelijke doelwitten in principe onbeperkt groot.
De aanval verliep in vier duidelijke stappen. Eerst verzamelden de aanvallers e-mailadressen uit oude datalekken, LinkedIn en klantenlijsten. E-mailadressen gelden in de praktijk als openbare gegevens. Iedereen kan zulke lijsten met weinig moeite bij elkaar sprokkelen. Een e-mailadres vormt daarom nooit een geheim en dus nooit een bewijs. Vervolgens registreerden de aanvallers een Lenovo ID op het adres van het slachtoffer. De verificatiestap ontbrak of liet zich eenvoudig omzeilen. De weergavenaam vulden zij nonchalant in. Een gebruiker die zijn account terugnam, trof daar de naam John Madden aan. Die verwijzing naar de overleden NFL-commentator verraadt massale registraties met weinig moeite. Onderzoekers zien zulke sporen vaker bij geautomatiseerde aanvallen. Aanvallers werken dan met scripts en proberen honderden adressen achter elkaar. Persoonlijke interesse in een slachtoffer speelt daarbij zelden een rol.
In de derde stap klikten de aanvallers bij Dropbox op de knop Continue with Lenovo. De autorisatieserver van Lenovo gaf daarop een token af. Het e-mailadres in dat token kwam overeen met het Dropbox-account van het slachtoffer. In de vierde stap koppelde Dropbox beide gegevens automatisch aan elkaar. Het systeem opende meteen een sessie op naam van de rechtmatige eigenaar. Er volgde geen wachtwoordvraag en geen extra verificatie. Dropbox vroeg ook niet om toestemming voor de nieuwe koppeling. Het platform ging er simpelweg van uit dat een vertrouwde partij het adres had gecontroleerd. Die aanname opende de deur voor iedere aanvaller met een e-mailadreslijst. Het slachtoffer merkte er intussen niets van. Er kwam immers geen waarschuwing over een nieuw inlogmiddel.
Daar zit volgens experts de werkelijke fout. Lenovo controleerde e-mailadressen onvoldoende, en dat verwijt blijft overeind. Toch had die fout weinig schade aangericht bij een stevigere aanpak van Dropbox. Het bedrijf had gebruikers eerst met hun bestaande wachtwoord kunnen laten bevestigen. Pas daarna zou de koppeling met de nieuwe identiteit geldig worden. Zo’n bevestigingsstap heet account linking en geldt in de sector als standaard. 9to5Mac noemt het ontbreken daarvan een grove fout. Veel beveiligingsdeskundigen delen die conclusie. Zij wijzen erop dat de fout al jaren bekendstaat onder de naam account takeover via SSO. Een keten van vertrouwen is immers zo sterk als de zwakste schakel. Wie identiteiten van derden accepteert, draagt zelf de verantwoordelijkheid voor de eindcontrole. Een token van een partner bewijst hooguit iets over die partner. Het bewijst niets over de echte eigenaar van een postbus.
Dropbox heeft het lek inmiddels gedicht. Daarnaast beëindigde het bedrijf alle sessies die via een Lenovo ID tot stand kwamen. Getroffen gebruikers moeten dus opnieuw inloggen. Het bedrijf gaf verder weinig details over het aantal getroffen accounts. Wie zo’n mail ontving, zet het best nog enkele stappen zelf. Controleer de gekoppelde apparaten en de actieve sessies in de accountinstellingen. Bekijk ook welke externe diensten toegang hebben tot je bestanden. Verwijder koppelingen die je niet herkent. Wijzig daarnaast het wachtwoord en schakel tweestapsverificatie in. Let ten slotte op vreemde activiteit in gedeelde mappen en op onverwachte deellinks. Wie zakelijke bestanden in Dropbox bewaart, informeert bovendien de eigen ICT-afdeling. Een korte melding voorkomt discussie achteraf. Bedrijven willen zulke incidenten graag zelf vastleggen.
Het incident laat een breder probleem zien rond moderne inlogsystemen. Bedrijven bouwen steeds meer diensten boven op elkaars identiteitscontroles. Elke extra partner vergroot het aanvalsoppervlak. Een zwakke verificatie bij een partner raakt daardoor direct duizenden accounts elders. Gebruikers zien die afhankelijkheden bovendien nauwelijks. Zij kiezen voor gemak en vertrouwen erop dat de techniek klopt. Dat vertrouwen verdient een stevigere basis dan een e-mailadres in een token. Toezichthouders kijken intussen kritischer naar zulke koppelingen tussen platforms. Voor Dropbox blijft vooral reputatieschade over. De bestanden bleven volgens de logboeken onaangeroerd, maar het vertrouwen kreeg een flinke deuk. Andere aanbieders doen er goed aan hun eigen koppelprocedures nu grondig na te lopen. Een simpele extra bevestiging voorkomt vaak de grootste ellende. Deze zaak levert daarvoor een pijnlijk maar leerzaam voorbeeld.
