クラウドストレージアカウントは、本来は安心できるものであり、まるで鍵のかかった引き出しのように感じられるはずだ。しかし、およそ 5,000 人の Dropbox ユーザーにとっては、その引き出しが誰もパスワードを入力しないまま開いてしまった。今週明らかになったDropbox のセキュリティ侵害は、一見ありそうもない原因にさかのぼる。PC メーカーである Lenovo に紐づいた不完全なサインインシステムの欠陥により、攻撃者が他人のメールアドレスを名乗るだけでアカウントに侵入できてしまったのだ。
Summary
主なポイント
- 攻撃者は、被害者のパスワードを必要とせずに Dropbox アカウントへアクセスできるようにするLenovo ID 認証の欠陥を悪用した。
- Dropbox によると、不正アクセスは 2026 年 8 月 4 日から 8 月 21 日の間に発生した。
- 影響を受けた Dropbox アカウントは約 5,000 件で、そのうち 3 分の 1 未満でファイルの閲覧またはダウンロードが行われた。
- Dropbox の二要素認証が有効化されていないアカウントのみが脆弱だった。
- Dropbox は Lenovo ID がアカウントに接続できる方法を変更し、影響を受けたすべてのユーザーに個別にメールを送信した。
Lenovo ID 認証の欠陥がハッカーの侵入を許した仕組み
この侵害は、盗まれたパスワードやハッキングされたサーバーから始まったわけではない。発端は、Lenovo がメールアドレスの所有権を検証する方法に存在した抜け穴だった。Dropbox は Lenovo ID をシングルサインオン（SSO）のオプションとして提供しており、ユーザーは Dropbox のパスワードの代わりに、検証済みの Lenovo の ID を使ってログインできる。この利便性が、攻撃者にとっての侵入口となった。
Decrypt に語った Dropbox の広報担当者によると、同社の調査で「Lenovo のメールアドレス検証プロセスに問題があり、第三者が他人のメールアドレスを使って Lenovo ID を登録し、その Lenovo ID を使って、そのメールアドレスに紐づく Dropbox アカウントにログインできてしまう状況があった」ことが判明したという。平たく言えば、誰かが実際にはその受信箱を操作できる証拠を一切示さないまま、見知らぬ他人のメールアドレスで新しい Lenovo アカウントを作成できてしまったということだ。Dropbox は Lenovo のログインを本人確認として十分だと信頼し、そのままアクセスを許可してしまった。
この出来事が特に不気味なのは、被害者がフィッシングリンクをクリックしたり、漏えいしたパスワードを再利用したり、明らかな詐欺に引っかかったりする必要がまったくなかった点だ。脆弱性は、ユーザーの行動ではなく、2 社のシステム間の「握手」の部分、つまり連携の仕組みそのものの中に存在していた。
シングルサインオンのセキュリティにとってなぜ重要なのか
この一件は、プラットフォームが外部の ID プロバイダーに信頼を委ねる際に生じる、より広範なリスクを浮き彫りにしている。Dropbox が Lenovo 発行のログイン情報を所有権の証拠として受け入れたとき、実質的に自社の玄関口を外部にアウトソースしたことになる。もしパートナー側の検証ステップが弱ければ、その失敗は Dropbox の問題にもなる。事件を検証したセキュリティ研究者らは、Dropbox 自身が新しい SSO 接続を有効にする前に既存アカウントの検証を要求していなかったことを指摘しており、この欠陥が Lenovo だけの責任ではないことを示している。
侵害の範囲とタイムライン
Dropbox によると、不正アクセスが可能だった期間は 2026 年 8 月 4 日から 8 月 21 日までで、およそ 3 週間のあいだ、攻撃者は Lenovo ID の脆弱な経路を使ってアカウントに侵入できたという。同社の集計では、約 5,000 件のアカウントが影響を受けた。
この数字だけでも十分に不安をあおるが、より重要なのは、攻撃者が侵入した後に何が起きたかだ。影響を受けたアカウントのうち、実際にファイルが閲覧またはダウンロードされたのは 3 分の 1 未満だった。残りの大半については、Dropbox のログにファイルが開かれたりストレージから取得されたりした形跡はなかったという。この「アクセスはあったがデータ流出は確認されていない」という違いは、大きな脅威と全面的なデータ漏えいを分ける境界線であり、Dropbox がユーザーへの説明で強調している微妙なポイントでもある。
誰が脆弱だったのか — そして Dropbox の対応
すべての Dropbox ユーザーが危険にさらされたわけではない。この攻撃が成立したのは、Lenovo ID とリンクされており、かつ Dropbox の二要素認証が有効になっていないアカウントだけだった。電話に送信されるコードやアプリで生成されるコードといった第二要素があれば、たとえ攻撃者が被害者のメールアドレスで不正な Lenovo ID を登録することに成功しても、ログインはブロックされていたはずだ。
Dropbox はその後、Lenovo ID がアカウントにアクセスできる方法を変更し、攻撃者が利用した特定の経路を塞いだと説明している。また、広報担当者は Decrypt に対し、広く一般向けの告知を出す前に、影響を受けたすべてのユーザーに個別メールを送信したことも確認した。「影響を受けたすべてのユーザーに直接メールをお送りしました。アカウントのアクティビティについてご質問があるお客様は、サポートチームまでご連絡ください。弊社からメールを受け取っていないユーザーのアカウントは影響を受けていません」と同担当者は述べている。
この説明は、自分が巻き込まれたかどうか不安に感じている人にとって重要だ。Dropbox によれば、メールが届いていないのであれば、そのアカウントは問題ないということになる。
実例：存在しなかった「ロンドンからのログイン」
認証の欠陥という抽象的な話も、実際に被害に遭った人のケースを見ると、ぐっと現実味を帯びてくる。影響を受けたユーザーの 1 人である開発者の Yoni Levy 氏は、X 上に Dropbox からの警告メールのスクリーンショットを投稿し、外部の人々にこの攻撃が内部からどのように見えていたのかを垣間見せた。
ある警告メールでは、8 月 18 日午前 6 時 6 分（現地時間）に、「イングランド、英国、カナリー・ワーフ付近」から、Windows 上の Chrome を使ってブラウザによるアカウントへのサインインが行われたと通知されていた。Levy 氏は、Lenovo アカウントを持ったこともなければ、英国を訪れたこともないと述べている。その後の Dropbox からのメッセージで、何が起きたのかが確認された。第三者が彼のメールアドレスを使って Lenovo ID を登録し、そのでっち上げられた ID を使って彼の Dropbox アカウントに直接ログインしていたのだ。パスワードも、受信箱へのアクセスも、そして彼が二要素認証を有効にしていなかったため第二要素も、一切必要なかった。
パターンを調査したセキュリティ研究者らは、この攻撃を、特定の標的を狙ったものというより、大量かつ低コストでアカウントを狙う手口だと評している。同じ欠陥に関連する少なくとも 1 件のケースでは、被害者が自分の名前で登録されていた不正な Lenovo ID を取り戻したところ、そのアカウントの表示名が「John Madden」（故 NFL 解説者）に設定されていたという。このことから、攻撃者が特定の個人を追跡していたのではなく、大量のメールアドレスを機械的に試していた可能性がうかがえる。
この侵害が示すアカウントセキュリティへの示唆
今回の Dropbox のセキュリティ侵害は、「X でサインイン」といった ID 連携ログインがウェブ全体で標準化する一方で、その安全性が改めて問われているタイミングで起きた。シングルサインオンは、本来は生活を楽にするための仕組みだ。1 つの検証済み ID で、覚えるパスワードを減らすことができる。しかし今回の事件は、2 社間の信頼の鎖に、どちらも十分に責任を負っていない弱いリンクが存在すると何が起きるかを示している。
一般ユーザーにとっての実務的な教訓は明快だ。Lenovo 側の欠陥がそのまま残っていたとしても、二要素認証が有効であれば、この攻撃は完全に防げた。一方、サードパーティの SSO 連携を構築・受け入れる企業にとっては、「誰がメールアドレスを実際にコントロールしているかの検証」は任意のオプションではなく、ログインの仕組み全体が依拠する土台そのものだということを思い起こさせる出来事となった。Dropbox は自社側の抜け穴をすでに塞いだが、同様または類似の ID プロバイダー連携に依存している他のサービスにも、同種の見落としが潜んでいるのではないかという疑問は残されたままだ。
FAQ
攻撃者はどのようにしてパスワードなしで Dropbox アカウントにアクセスしたのですか？
攻撃者は、Lenovo のメールアドレス検証プロセスの欠陥を悪用し、被害者のメールアドレスを使って Lenovo ID を登録しました。その Lenovo ID をシングルサインオン機能を通じて Dropbox アカウントにリンクさせることで、パスワードなしでアクセスできるようにしました。
この侵害で影響を受けた Dropbox アカウントは何件ですか？
およそ 5,000 件の Dropbox アカウントが影響を受け、不正アクセスは 2026 年 8 月 4 日から 8 月 21 日の間に発生しました。
攻撃者は侵害された Dropbox アカウントからファイルを閲覧またはダウンロードしましたか？
影響を受けたアカウントのうち、3 分の 1 未満でファイルの閲覧またはダウンロードが行われました。Dropbox は、大多数のケースでファイルの閲覧やダウンロードの証拠は見つからなかったと述べています。
Dropbox はこのセキュリティ脆弱性に対してどのような対策を講じましたか？
Dropbox は、Lenovo ID がアカウントにアクセスできる方法を変更して、悪用されていた経路を遮断し、影響を受けたすべてのユーザーにメールで直接通知しました。
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”攻撃者はどのようにしてパスワードなしで Dropbox アカウントにアクセスしたのですか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”攻撃者は、Lenovo のメールアドレス検証プロセスの欠陥を悪用し、被害者のメールアドレスを使って Lenovo ID を登録しました。その Lenovo ID をシングルサインオン機能を通じて Dropbox アカウントにリンクさせることで、パスワードなしでアクセスできるようにしました。”}},{“@type”:”Question”,”name”:”この侵害で影響を受けた Dropbox アカウントは何件ですか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”およそ 5,000 件の Dropbox アカウントが影響を受け、不正アクセスは 2026 年 8 月 4 日から 8 月 21 日の間に発生しました。”}},{“@type”:”Question”,”name”:”攻撃者は侵害された Dropbox アカウントからファイルを閲覧またはダウンロードしましたか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”影響を受けたアカウントのうち、3 分の 1 未満でファイルの閲覧またはダウンロードが行われました。Dropbox は、大多数のケースでファイルの閲覧やダウンロードの証拠は見つからなかったと述べています。”}},{“@type”:”Question”,”name”:”Dropbox はこのセキュリティ脆弱性に対してどのような対策を講じましたか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Dropbox は、Lenovo ID がアカウントにアクセスできる方法を変更して、悪用されていた経路を遮断し、影響を受けたすべてのユーザーにメールで直接通知しました。”}}]}
本記事は人工知能の支援を受けて作成され、編集部による確認を経ています。
