Dropbox 报告通过联想邮箱验证漏洞导致的账户入侵

Dropbox 警告用户，其账户遭到未经授权的访问，此次攻击利用了联想邮箱验证系统中的漏洞。攻击者在受害者邮箱地址上注册虚假联想ID，随后无需输入Dropbox密码即可登录关联的Dropbox账户。

此次事件影响了那些未拥有联想账户但使用联想身份提供商服务登录Dropbox的用户。Dropbox将问题归咎于联想邮箱验证流程中的错误，该漏洞允许攻击者在无需额外验证的情况下确认对邮箱地址的控制权。

据路透社报道，此次攻击影响了约5000个账户，未经授权的访问发生在8月4日至21日期间。部分用户在事件被发现前两周就已报告可疑的登录尝试。为应对此威胁，Dropbox终止了所有通过联想ID认证的会话，并强制要求用户在通过联想ID登录时必须输入Dropbox账户密码。

联想确认此漏洞源于联想ID与Dropbox之间过时的集成。虽然问题已得到解决，但相关调查仍在进行中。拥有联想账户的用户未受此漏洞影响。