// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
Identità digitali e sicurezza: i rischi dei sistemi di terze parti
Un recente caso di accesso non autorizzato ha coinvolto Dropbox e Lenovo ID, a seguito di una vulnerabilità nel sistema di autenticazione di quest'ultimo che ha consentito a un hacker di accedere a circa 5.000 account Dropbox.
Gli accessi non autorizzati si sono verificati tra il 4 e il 21 agosto 2026. Secondo quanto comunicato da Dropbox, in meno di un terzo dei casi i file presenti negli account sono stati visualizzati o scaricati.
L'attacco non avrebbe interessato direttamente i sistemi Dropbox, ma avrebbe sfruttato una vulnerabilità nel sistema di autenticazione di Lenovo ID, utilizzando il collegamento esistente tra i due servizi.
La vulnerabilità riguardava il processo di verifica dell'indirizzo e-mail: secondo quanto ricostruito, un soggetto non autorizzato poteva registrare un Lenovo ID associandolo all'indirizzo e-mail di un'altra persona e, attraverso tale account, ottenere l'accesso al corrispondente account Dropbox.
La vulnerabilità ha assunto particolare rilevanza in quanto gli account interessati non disponevano dell'autenticazione a più fattori. Dropbox ha successivamente interrotto le sessioni autenticate tramite Lenovo ID, disattivando il collegamento tra i due servizi, e introducendo ulteriori requisiti per l'accesso.
Dal punto di vista giuridico, l'incidente richiama innanzitutto il tema della sicurezza del trattamento dei dati personali. Il GDPR impone al titolare e, per quanto di competenza, al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio, tenendo conto anche della capacità dei sistemi di garantire la riservatezza, l'integrità e la disponibilità dei dati.
Una violazione non deve necessariamente consistere nel furto di un database: anche l'accesso non autorizzato a un account contenente dati personali può configurare una violazione dei dati personali ai sensi del GDPR. Le società dovranno quindi valutare gli obblighi di notifica all'autorità di controllo entro 72 ore dalla conoscenza della violazione e, nei casi più gravi, di comunicazione agli interessati.
Il caso evidenzia inoltre un ulteriore profilo: la sicurezza delle integrazioni con soggetti terzi. Affidarsi a un identity provider o a un servizio esterno non trasferisce automaticamente la responsabilità di sicurezza. Al contrario, l'utilizzo di sistemi di autenticazione richiede una valutazione dei rischi legati alla catena tecnologica e alle modalità con cui i diversi servizi verificano l'identità degli utenti (per maggiori informazioni su AI e responsabilità clicca qui).
La vicenda Dropbox-Lenovo evidenzia l'importanza della gestione delle identità digitali nella sicurezza informatica delle imprese.
Un primo intervento consiste nel censire le integrazioni e i sistemi di autenticazione di terze parti, verificando quali applicazioni possono accedere ai sistemi aziendali, con quali credenziali e attraverso quali meccanismi di verifica. Particolare attenzione va riservata alle integrazioni legacy, realizzate in passato e ancora attive nonostante il loro utilizzo sia diventato marginale.