Environ 5 000 comptes Dropbox ouverts avec un identifiant Lenovo que personne n'avait créé
Voici une fuite de données sans le moindre mot de passe dérobé. Entre le 4 et le 21 août, quelqu'un a enregistré des identifiants Lenovo en utilisant les adresses e-mail d'autres personnes, puis a cliqué sur "Continuer avec SSO" sur la page de connexion Dropbox pour entrer dans le compte Dropbox rattaché à cette même adresse. La vérification d'e-mail de Lenovo ne contrôlait pas correctement que la personne inscrite possédait bien l'adresse. Dropbox, de son côté, acceptait l'identifiant Lenovo obtenu comme preuve d'identité sans réclamer de mot de passe Dropbox. Environ 5 000 comptes ont été atteints, et des fichiers ont été téléchargés depuis près de 1 500 d'entre eux.
Les e-mails de notification ont commencé à arriver vers le 31 août, et c'est ainsi que la plupart des gens l'ont appris. Plusieurs ont décrit le même détail troublant survenu auparavant: la page de connexion Dropbox leur proposait soudain une authentification unique pour un compte Lenovo qu'ils n'avaient jamais créé.
Les deux entreprises ont refermé la brèche. Dropbox a fait expirer toutes les sessions authentifiées via un identifiant Lenovo, a dissocié ces identifiants des comptes, et exige désormais votre mot de passe Dropbox avant qu'une connexion Lenovo ne mène où que ce soit. Lenovo a corrigé la faille de vérification.
Ce qu'il faut retenir, c'est quels comptes s'en sont sortis. Toute personne ayant activé l'authentification à deux facteurs sur Dropbox n'a pas été touchée, parce que cette deuxième étape se tenait entre l'attaquant et les fichiers, quelle que soit la crédibilité de la connexion. Voilà l'argument en faveur de la double authentification en une phrase: elle continue de fonctionner quand la connexion elle-même a été discrètement cassée. Le contrôle Confidentialité et comptes de Tendvane liste les comptes connectés sur votre PC et l'endroit où vos fichiers se synchronisent, ce qui est une bonne lecture avant de décider lesquels méritent un deuxième facteur en priorité.