// SMARTWORLD — CYBERSECURITY
Accessi non autorizzati su Dropbox: la falla ampiamente evitabile che ha reso inutili le password
Se avete un account Dropbox, potreste aver ricevuto nelle ultime ore un'email poco piacevole: la società ha notificato a diversi utenti un accesso non autorizzato ai loro account, avvenuto tra il 4 e il 21 agosto 2026. Dropbox assicura che non ci sono prove che i file siano stati visualizzati o scaricati, ma la storia di come è potuto succedere è, francamente, ampiamente evitabile.
La causa principale è una combinazione di due falle: una in Lenovo (ci arriviamo a breve), l'altra in Dropbox stessa. E la seconda è quella che fa più male.
Dropbox ha una partnership con Lenovo che permette agli utenti di accedere al proprio account usando un Lenovo ID, tramite il meccanismo del Single Sign-On (SSO), cioè quel sistema che consente di fare login su un servizio usando le credenziali di un altro. Il problema è che il processo di verifica email di Lenovo era aggirabile: un attaccante poteva registrare un Lenovo ID usando l'indirizzo email di qualcun altro, senza dover dimostrare di avere accesso a quella casella.
A quel punto, bastava cliccare su "Continua con Lenovo" su Dropbox. Il sistema di Lenovo emetteva un token di autenticazione con l'indirizzo email della vittima, e Dropbox lo accettava senza fare ulteriori domande: nessuna richiesta di password, nessuna conferma, nessun avviso del tipo "vuoi collegare questo nuovo metodo di accesso?". L'account veniva aperto direttamente.
Come riporta 9to5Mac, uno degli utenti colpiti che ha recuperato l'account fasullo ha trovato come nome del profilo Lenovo "John Madden", il compianto commentatore NFL americano: un chiaro segnale di registrazioni in blocco, fatte in modo rapido e senza cura.
In pratica, per portare a termine l'attacco bastava avere un elenco di indirizzi email associati ad account Dropbox, cosa tutt'altro che difficile da reperire. Gli indirizzi email sono dati sostanzialmente pubblici: si trovano nei database di precedenti violazioni, su LinkedIn e altri social, nelle liste clienti; alla fine basta provare e qualcosa trovi.
Dropbox ha ora corretto la vulnerabilità e invalidato tutte le sessioni autenticate tramite Lenovo ID.
Ma la domanda che resta in piedi è scomoda: perché Dropbox non richiedeva all'utente di verificare il collegamento di un nuovo metodo di accesso con le credenziali già esistenti? È una misura di sicurezza che sembra piuttosto elementare, eppure non è la primva volta che ci imbattiamo in un servizio famoso che lesina sulle verifiche aggiuntive, e tutto in un mondo in cui i data breach sono sempre più all'ordine del giorno.
I sistemi di Single Sign-On sono indubbiamente comodi, ma ogni anello debole della catena diventa un punto d'ingresso, e quando un servizio accetta ciecamente il token di un provider esterno senza alcuna verifica aggiuntiva, la sicurezza dell'intero account viene in pratica demandata a terzi. Non è esattamente questo il "futuro senza password" che ci era stato promesso.