Eine Schwachstelle im E-Mail-Verifizierungsprozess von Lenovo hat es Unbefugten ermöglicht, auf eine begrenzte Anzahl von Dropboxa-Konten zuzugreifen. Betroffen sind nach Angaben von Reuters rund 5.000 Nutzer, bei denen die Angreifer ohne Kenntnis des Passworts in die Cloud-Speicher eindringen konnten. Die Sicherheitslücke offenbart ein fundamentales Risiko in der Verkettung von Identitätsdiensten (Identity Federation).
Wie die Kompromittierung der Dropbox-Konten durch die Lenovo-Lücke funktionierte
Das Kernproblem liegt in der Authentifizierungsarchitektur von Dropbox. Der Cloud-Speicher-Anbieter integriert die Lenovo Identity Provider Services in sein System. Dies bedeutet, dass Nutzer sich mit ihrem verifizierten Lenovo-Konto bei Dropbox anmelden können. Ein Angreifer nutzte einen Fehler im E-Mail-Verifizierungsprozess von Lenovo, um eine betrügerische Lenovo-ID mit der E-Mail-Adresse eines Opfers zu registrieren. Da Dropbox der Behauptung von Lenovo vertraute, dass der Angreifer die Kontrolle über die E-Mail-Adresse besitzt, wurde die Identitätsverknüpfung durchgeführt, ohne dass eine zusätzliche Bestätigung über die bestehende Dropbox-Anmeldemethode erforderlich war.
Laut der Benachrichtigung, die an betroffene Nutzer gesendet wurde, war der unbefugte Zugriff möglich, weil „ein Problem mit Lenovos E-Mail-Verifizierungsprozess“ es erlaubte, dass „eine nicht autorisierte Person eine Lenovo-ID mit Ihrer E-Mail-Adresse registrieren konnte“. Der Angreifer nutzte diese gefälschte Lenovo-ID dann, um auf das unter derselben E-Mail-Adresse registrierte Dropbox-Konto zuzugreifen. Einige der betroffenen Nutzer besaßen nicht einmal selbst ein Lenovo-Konto.
Chronologie des Vorfalls und Reaktionen der Betroffenen
Der Zugriff auf die Nutzerkonten erfolgte in einem Zeitfenster zwischen dem 4. und 21. August. Einige Dropbox-Nutzer berichteten, dass sie etwa zwei Wochen vor der offiziellen Warnung Benachrichtigungen über verdächtige Anmeldeversuche erhalten hatten. Ein Nutzer mit dem Pseudonym xaphod berichtete auf der Plattform Hacker News, dass die Dropbox-Anmeldeseite plötzlich die Option „Continue with SSO“ für seine E-Mail anbot, obwohl er niemals eine Lenovo-ID erstellt hatte. Die betroffenen Nutzer wechselten daraufhin sofort ihre Passwörter und aktivierten die Zwei-Faktor-Authentifizierung.
Dropbox selbst erklärte, dass die unbefugten Zugriffe auf das Ausnutzen dieser spezifischen Schwachstelle zurückzuführen seien und dass man gemeinsam mit Lenovo daran gearbeitet habe, das Risiko zu mindern. Ein Sprecher von Lenovo bestätigte gegenüber BleepingComputer, dass das Problem mit einer Legacy-Integration zwischen Lenovo ID und Dropbox zusammenhing, die ausgenutzt werden konnte, um „bestimmte Dropbox-Konten unrechtmäßig zu authentifizieren“. Lenovo betonte, dass die eigenen Kunden nicht von dem Problem betroffen waren.
Sofortmaßnahmen und zukünftige Sicherheitsvorkehrungen
Als Reaktion auf den Vorfall hat Dropbox umgehend Maßnahmen ergriffen. Das Unternehmen hat alle Sitzungen, die über Lenovo-IDs authentifiziert wurden, ungültig gemacht und eine neue Anmeldeanforderung implementiert. Zukünftig müssen Nutzer, die sich über ihren Lenovo-Account anmelden, zwingend ihr Dropbox-Kontopasswort eingeben. Diese zusätzliche Hürde soll verhindern, dass eine kompromittierte oder betrügerische externe Identität allein ausreicht, um auf das Konto zuzugreifen.
Während die Untersuchungen andauern, bestätigte Dropbox, dass der Angreifer in einigen Fällen nicht nur auf die Konten zugreifen, sondern auch Daten einsehen und herunterladen konnte. Diese Tatsache unterstreicht die Ernsthaftigkeit des Vorfalls, selbst wenn er auf eine relativ kleine Anzahl von Nutzern beschränkt war. Für Betroffene bedeutet dies, dass potenziell vertrauliche Dokumente und Dateien in die Hände Unbefugter gelangt sein könnten.
Warum die Sicherheitslücke für die Branche relevant ist
Dieser Vorfall ist ein Paradebeispiel für die Gefahren von Single Sign-On (SSO) und föderierten Identitäten. Das Vertrauen, das Dropbox in die Verifizierung durch Lenovo gesetzt hat, war der entscheidende Schwachpunkt. Sobald ein Kettenglied in der Vertrauenskette bricht – hier der E-Mail-Verifizierungsprozess – ist das gesamte System gefährdet. Die Angriffsmethode zeigt, dass Angreifer nicht mehr nur die Sicherheit des Endprodukts selbst angreifen, sondern sich auf die schwächeren Glieder in der Authentifizierungskette konzentrieren.
Für Sicherheitsverantwortliche und Unternehmen, die auf Identitätsanbieter von Drittanbietern setzen, ergibt sich daraus eine klare Lehre: Jede externe Identitätsverifikation muss intern durch eigene Mechanismen abgesichert werden. Der Fall demonstriert auch, wie wichtig eine konsequente Protokollierung und die Analyse von Anmeldemustern sind. Nutzer, die ihre Sicherheit erhöhen möchten, sollten neben der Zwei-Faktor-Authentifizierung auch die verknüpften Dienste und SSO-Optionen in ihren Konten regelmäßig überprüfen.
Die Kooperation zwischen Dropbox und Lenovo bei der Schadensbegrenzung zeigt, dass die Unternehmen die Dringlichkeit erkannt haben. Dennoch bleibt ein bitterer Beigeschmack: Ein Angreifer konnte wochenlang unentdeckt auf fremde Daten zugreifen, nur weil ein Verifikationsprozess bei einem Partnerunternehmen fehlerhaft war. Die zukünftige Sicherheit von Cloud-Diensten wird nicht nur von der Härte der eigenen Systeme abhängen, sondern ebenso von der Sicherheitskultur und -technik der gesamten Partnerlandschaft.
