クラウドストレージサービス大手の「ドロップボックス（Dropbox）」は、一部のユーザーのアカウントに対して不正アクセスがあったと発表しました。サードパーティを通じたシングルサインオン（SSO）機能の認証プロセスに不備があったことが原因とみられています。
同社が対象のユーザーに送付した通知メールによりますと、8月4日から21日にかけてアカウントへの不正なアクセスが確認されたということです。現時点で、ユーザーのファイルが閲覧されたり、ダウンロードされたりした形跡は確認されていないとしています。
不正アクセスの原因は、提携するパソコン大手「レノボ（Lenovo）」のIDを用いたログイン機能に関連しているということです。レノボ側のメールアドレス確認プロセスに問題があり、悪意のある第三者が被害者のメールアドレスを使ってレノボIDを不正に作成し、そのIDを利用してドロップボックスにログインしたとみられています。
一方で、専門家からはドロップボックス側のセキュリティ仕様にも重大な問題があったと指摘されています。新たな外部IDを連携させる際、既存のログイン情報を用いた本人確認をユーザーに求めていなかったため、不正アクセスの発生を防ぐことができなかったとされています。
ドロップボックスはすでにこの問題を修正し、レノボIDを通じて認証されたすべてのログインセッションを無効化する措置を講じたとしています。
