Недавний инцидент с безопасностью в Dropbox стал настоящим шоком для пользователей облачного хранилища. Более 5000 аккаунтов оказались под угрозой, и хотя компания заверяет, что файлы не были просмотрены или скачаны, важно знать, как защитить себя в будущем. В этом руководстве мы разберем, что произошло, как это могло произойти и какие шаги необходимо предпринять для повышения безопасности вашего аккаунта.
Что произошло?
Dropbox уведомил пользователей о несанкционированном доступе к их аккаунтам в период с 4 по 21 августа. Как выяснили эксперты, причиной утечки стало отсутствие должной аутентификации со стороны Dropbox, когда злоумышленники создали опцию единого входа (SSO) через третью сторону.
Как это произошло?
Разработчик Йони Леви поделился копией письма, которое он получил от Dropbox. В нем было указано, что проблема возникла из-за использования идентификаторов Lenovo для входа в аккаунты Dropbox. Хотя у вас может не быть существующего идентификатора Lenovo, расследование показало, что недостатки в процессе проверки электронной почты Lenovo позволили злоумышленнику зарегистрировать идентификатор с использованием вашего адреса электронной почты и затем войти в ваш аккаунт Dropbox.
Что пошло не так?
- Сбор адресов электронной почты: Злоумышленник собирает целевые адреса (например, из утечек данных, LinkedIn или списков клиентов).
- Регистрация злонамеренного ID: Злоумышленник регистрирует идентификатор Lenovo как victim@example.com, не имея доступа к почтовому ящику, так как шаг проверки электронной почты отсутствует или может быть обойден.
- Федеративный вход: Злоумышленник нажимает «Продолжить с Lenovo» на сайте Dropbox. Сервер авторизации Lenovo выдает токен, который соответствует адресу электронной почты жертвы.
- Неявное связывание аккаунтов: Dropbox связывает токен с существующим аккаунтом и создает сессию, не запрашивая пароль и не требуя подтверждения нового идентификатора.
Мнение экспертов
Хотя на стороне Lenovo действительно имелись недостатки в проверке адресов электронной почты, Dropbox также допустил серьезную ошибку, не проверив связанный идентификатор перед его использованием для входа. Исправление этой ситуации было необходимым шагом, и компания уже закрыла все сессии, которые были «аутентифицированы» через идентификатор Lenovo.
Что делать дальше?
Если вы еще не включили двухфакторную аутентификацию для вашего аккаунта Dropbox, настоятельно рекомендуем сделать это прямо сейчас. Вот пошаговое руководство по активации:
- Войдите в свой аккаунт Dropbox.
- Перейдите в раздел «Настройки».
- Выберите вкладку «Безопасность».
- Найдите раздел «Двухфакторная аутентификация» и нажмите «Включить».
- Следуйте инструкциям на экране для завершения настройки.
Заключение
Применение вышеуказанных рекомендаций поможет вам существенно повысить безопасность вашего аккаунта Dropbox. Убедитесь, что вы не только активировали двухфакторную аутентификацию, но и регулярно проверяете свои настройки безопасности. Защита личной информации - это ваша первоочередная задача в современном цифровом мире.
