Unas 5.000 cuentas de Dropbox se abrieron con un Lenovo ID que nadie había creado

Aquí hay una brecha sin una sola contraseña robada dentro. Entre el 4 y el 21 de agosto, alguien registró Lenovo ID usando las direcciones de correo de otras personas y luego pulsó "Continue with SSO" en la página de acceso de Dropbox para entrar en la cuenta de Dropbox asociada a esa misma dirección. La verificación de correo de Lenovo nunca comprobó como es debido que quien se registraba fuera el dueño de la dirección. Dropbox, por su parte, aceptaba el Lenovo ID resultante como prueba de identidad sin pedir una contraseña de Dropbox. Se alcanzaron unas 5.000 cuentas, y de unas 1.500 de ellas se descargaron archivos.

Los correos de notificación empezaron a llegar hacia el 31 de agosto, y así se enteró la mayoría. Varios describieron el mismo detalle inquietante de días antes: la página de acceso de Dropbox les ofrecía de pronto un inicio de sesión único para una cuenta Lenovo que nunca habían creado.

Ambas empresas lo han cerrado. Dropbox caducó todas las sesiones autenticadas mediante un Lenovo ID, desvinculó esos identificadores de las cuentas y ahora exige tu contraseña de Dropbox antes de que un acceso por Lenovo lleve a ninguna parte. Lenovo corrigió el fallo de verificación.

Lo que hay que llevarse es qué cuentas se salvaron. Quien tenía activada la verificación en dos pasos en Dropbox no se vio afectado, porque ese segundo paso se interpuso entre el atacante y los archivos por muy convincente que pareciera el acceso. Ese es el argumento a favor del doble factor en una frase: sigue funcionando cuando el propio inicio de sesión se ha roto en silencio. La comprobación de privacidad y cuentas de Tendvane enumera las cuentas con sesión iniciada en tu PC y dónde se sincronizan tus archivos, una lectura sensata antes de decidir cuáles merecen antes un segundo factor.