Der Zugriff lief über eine Schwachstelle im Prüfverfahren, mit dem Lenovo E-Mail-Adressen bei der Registrierung einer Lenovo ID verifiziert. In der Benachrichtigung an betroffene Nutzer heißt es, „ein Problem mit Lenovos E-Mail-Verifizierungsprozess” habe es „einer unbefugten Partei erlaubt, eine Lenovo ID mit Ihrer E-Mail-Adresse zu registrieren". Mit dieser gefälschten Kennung konnte der Angreifer anschließend das zur selben Adresse gehörende Dropbox-Konto öffnen – ohne das Kontopasswort zu kennen.
Dropbox stellt in dem Schreiben ausdrücklich klar, dass auch Nutzer ohne eigenes Lenovo-Konto betroffen sein können: „Auch wenn Sie möglicherweise keine bestehende Lenovo ID besitzen, hat unsere Untersuchung ergeben, dass ein Problem mit Lenovos E-Mail-Verifizierungsprozess es einer unbefugten Partei ermöglichte, eine Lenovo ID mit Ihrer E-Mail-Adresse zu registrieren und sich mit dieser Lenovo ID in das mit dieser E-Mail-Adresse verknüpfte Dropbox-Konto einzuloggen."
Der Kern des Problems liegt in der Verknüpfung der Identitäten: Dropbox vertraute der Angabe Lenovos, dass die Person hinter der Lenovo ID die E-Mail-Adresse kontrolliert, und verlangte keine zusätzliche Bestätigung über den bereits vorhandenen Dropbox-Zugang.
Einige Nutzer berichten, sie hätten „vor etwa zwei Wochen" Hinweise auf verdächtige Anmeldungen bei Dropbox erhalten und daraufhin sofort ihr Passwort geändert sowie die Zwei-Faktor-Authentifizierung aktiviert. Ein Nutzer mit dem Namen xaphod schildert eine Auffälligkeit: „Eine merkwürdige Sache damals: Die Dropbox-Anmeldeseite bot für meine E-Mail-Adresse plötzlich ‚Mit SSO fortfahren’ an, obwohl ich nie eine Lenovo ID angelegt hatte."
Nach den Feststellungen von Dropbox fanden die unbefugten Zugriffe zwischen dem 4. und dem 21. August statt. Reuters berichtet von rund 5.000 betroffenen Konten; bei einem Teil der Nutzer habe der Angreifer Inhalte eingesehen und heruntergeladen. BleepingComputer bat Dropbox um weitere Auskünfte, erhielt bis zur Veröffentlichung aber keine Antwort.
Lenovo führt den Vorfall gegenüber BleepingComputer auf eine veraltete Integration zwischen Lenovo ID und Dropbox zurück, die sich ausnutzen ließ, um „bestimmte Dropbox-Konten unzulässig zu authentifizieren". Ein Sprecher erklärte: „Nachdem das Problem erkannt wurde, haben Dropbox und Lenovo gemeinsam daran gearbeitet, das Risiko unverzüglich zu verringern." Die Untersuchung läuft weiter; nach bisherigem Stand seien Lenovo-Kunden nicht betroffen.
Als Gegenmaßnahme beendete Dropbox alle über Lenovo IDs authentifizierten Sitzungen. Zusätzlich gilt nun eine neue Anforderung: Wer sich per Lenovo ID anmelden will, muss dabei auch das Passwort des Dropbox-Kontos eingeben.