Dropbox: 5.000 Akun Pengguna Diretas lewat Celah Autentikasi Lenovo ID

Bukan lewat serangan phishing rumit atau malware canggih, peretas kali ini masuk lewat celah sederhana pada sistem verifikasi email milik perusahaan lain.

Peretas berhasil membobol ribuan akun Dropbox Inc. bulan lalu, melihat dan bahkan mengunduh materi yang disimpan pengguna di platform penyimpanan cloud tersebut. Menurut pernyataan resmi perusahaan yang dikutip Bloomberg News, sekitar 5.000 akun Dropbox telah disusupi peretas, dengan file yang diakses pada kurang dari sepertiga akun tersebut.

Terjadi lewat Celah pada Autentikasi Lenovo ID

Juru bicara Dropbox, Tim Rathschmidt, menjelaskan insiden ini terkait celah autentikasi yang melibatkan Lenovo ID — salah satu opsi single sign-on (SSO) yang bisa dipakai pengguna untuk masuk ke akun Dropbox mereka. Dropbox menemukan adanya masalah dalam proses verifikasi email milik Lenovo yang memungkinkan pihak tidak berwenang mendaftarkan Lenovo ID menggunakan alamat email milik orang lain, kemudian memanfaatkan identitas tersebut untuk mengakses akun Dropbox yang terhubung dengan alamat email yang sama.

Dalam surat pemberitahuan kepada pengguna yang terdampak, Dropbox menyatakan akses tak sah terhadap akun terjadi antara 4 hingga 21 Agustus 2026. Akun-akun yang rentan terhadap celah ini secara spesifik adalah akun yang terhubung lewat Lenovo ID dan belum mengaktifkan autentikasi dua faktor (two-factor authentication) di Dropbox.

Dropbox Bergerak Cepat Amankan Akun dan Lapor Regulator

Begitu Dropbox mengetahui masalah ini, perusahaan segera mengambil langkah mengamankan akun-akun yang terdampak, kata Rathschmidt. Dropbox menambahkan bahwa mereka sejak itu telah memberitahukan regulator serta pengguna yang terdampak, sekaligus mengubah cara Lenovo ID dapat mengakses akun Dropbox guna mencegah celah serupa terulang.

Salah satu pengguna yang terdampak melaporkan menerima peringatan yang menunjukkan aktivitas login dari area dekat Canary Wharf, London, menggunakan browser Chrome di sistem operasi Windows — indikasi bahwa akses tak sah ini benar-benar berasal dari lokasi dan perangkat yang tidak dikenali pemilik akun.

Bukan Kali Pertama Dropbox Alami Insiden Keamanan

Insiden ini menambah daftar panjang persoalan keamanan yang pernah dialami Dropbox selama lebih dari satu dekade terakhir. Perusahaan pernah mengalami kebocoran data besar pada 2012 yang memengaruhi sekitar 68 juta akun — meski baru diungkap secara penuh pada 2016 — akibat kata sandi karyawan yang dipakai ulang dari kebocoran data LinkedIn di tahun yang sama.

Pada 2022, Dropbox juga mengalami insiden saat penyerang mengakses 130 repositori kode sumber di GitHub milik developer Dropbox lewat serangan phishing yang menyamar sebagai GitHub. Setahun setelahnya, produk tanda tangan digital mereka, Dropbox Sign, turut diretas — mengekspos data pengguna termasuk email, nama pengguna, nomor telepon, kata sandi terenkripsi (hashed), serta informasi autentikasi seperti API key dan token OAuth.

Peringatan bagi Pengguna Layanan SSO Pihak Ketiga

Insiden terbaru ini menjadi pengingat penting bagi pengguna layanan cloud yang mengandalkan opsi single sign-on dari pihak ketiga: keamanan akun sepenuhnya bergantung pada seberapa ketat proses verifikasi yang diterapkan penyedia identitas tersebut — dalam kasus ini, celah justru muncul dari sisi Lenovo, bukan dari infrastruktur inti Dropbox sendiri.

Dropbox mendorong seluruh pengguna, khususnya yang memakai opsi SSO pihak ketiga, untuk mengaktifkan autentikasi dua faktor guna mencegah insiden serupa terjadi di masa mendatang.