无需验证码就可以注册 大量Dropbox账号被黑客访问

近期多名 Dropbox 网盘用户收到安全通知，称其账户在 2026 年 8 月 4 日～21 日期间遭到未经授权的访问。此次安全问题并非 Dropbox 基础设施被黑客攻击，具体原因竟然是联想 ID 注册和 Dropbox SSO 登录存在信任漏洞。

根据目前披露的攻击链，联想 ID 注册流程存在邮箱验证缺陷，攻击者可以利用受害者邮箱创建联想账号，而且都不需要发送邮件验证码验证邮箱是否真的是注册者所有。

问题随后被 Dropbox SSO 登录机制放大，Dropbox 会根据联想提供的邮箱身份匹配现有账号，因此攻击者使用伪造的联想 ID 登录后，可以直接获得对应 Dropbox 账号的完整控制权，不需要账号密码和其他验证。

更严重的是受害者此前甚至都不需要注册联想 ID 或绑定 Dropbox 账号，Dropbox 与联想长期存在云存储合作，联想用户可以通过相关服务购买和使用 Dropbox。

Dropbox 在调查后已经注销所有通过联想 ID 建立的会话，同时解除受影响账号与联想 ID 的关联，如果用户希望继续通过联想 ID 访问，现在需要输入 Dropbox 账号密码进行验证，不能再直接登录。

审计发现在攻击窗口内部分账户被黑客访问，但 Dropbox 称目前日志没有发现用户文件被查看或下载的证据。另外联想到现在还未在安全公告中披露该事件。

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/