Dropboxの不正ログイン被害、Lenovo IDの認証プロセスに起因

Dropboxの不正ログイン被害、Lenovo IDの認証プロセスに起因

CyberInsider – September 2, 2026

何者かが他人のメールアドレスを無断で使用してLenovo IDを作成し、そのIDを使ってメールアドレスに紐付けられたDropboxアカウントに不正ログインしていたことが明らかになった。これはLenovo側のメール認証プロセスの欠陥に起因するという。

ユーザーがDropboxから受け取ったセキュリティ通知によると、不正アクセスは8月4日から21日の間に発生した。Dropboxでは認証済みのLenovo IDをIDプロバイダーとして利用することができるものの、Lenovoのメール認証プロセスに問題があるため、権限のない第三者が他人のメールアドレスを使ってLenovo IDを登録できる状態にあったとDropboxは述べた。このため、Dropboxのパスワードを知らなくとも、Lenovo IDと同じメールアドレスに紐づけられたDropboxアカウントにログインできてしまうようになっていたとのこと。

Dropboxは影響を受けたユーザーに対し、Lenovo IDで認証されたすべてのセッションを期限切れにし、アカウントとLenovo IDの連携を解除したと通知。ログインフローを変更し、Lenovo IDが使用されたDropboxアカウントにアクセスする際にはDropboxのパスワードの入力を必須とした。

影響を受けたユーザー数は不明であり、DropboxとLenovoのいずれも公式声明を発表していない。影響を受けた可能性のあるユーザーはDropboxとメールのパスワードを変更して2段階認証を有効にし、Dropboxのアクティビティログで不審なログインやファイルアクセスを確認することが推奨される。