Dropbox : 5 000 comptes compromis via une faille SSO Lenovo sans mot de passe

Une faille de vérification d'email ouvre 5 000 comptes Dropbox pendant 17 jours

Dropbox a divulgué le 1er septembre 2026 une violation de données affectant environ 5 000 comptes utilisateurs. L'incident s'est déroulé entre le 4 et le 21 août 2026, soit pendant 17 jours, avant d'être détecté et neutralisé. La nature de cette compromission est particulièrement instructive : les attaquants n'avaient besoin ni du mot de passe ni d'intercepter de session — ils ont exploité une faille architecturale dans le processus d'authentification unique (SSO) de Lenovo ID, un partenaire d'identité avec lequel Dropbox propose une connexion intégrée.

Le mécanisme de la faille est le suivant : lors de la création d'un nouveau compte Lenovo ID, le système ne vérifiait pas de manière suffisamment robuste que l'adresse email utilisée pour l'inscription appartenait bien au créateur du compte. Un attaquant pouvait ainsi créer un compte Lenovo ID frauduleux en utilisant l'adresse email d'une victime cible — sans que celle-ci reçoive une confirmation ou soit alertée. Une fois ce compte Lenovo ID créé avec l'email de la victime, l'attaquant pouvait s'en servir pour se connecter à Dropbox via le flux SSO, Dropbox faisant confiance au signal d'identité transmis par Lenovo sans vérification supplémentaire.

Ce type de vecteur d'attaque, connu sous le nom d'account pre-hijacking ou de pre-authentication account takeover, est documenté dans la littérature de sécurité depuis plusieurs années mais reste insuffisamment pris en compte dans les implémentations SSO des fournisseurs de services. L'attaquant n'a pas besoin de forcer un mot de passe, de phisher la victime ou d'intercepter un token d'authentification : il exploite une fenêtre temporelle entre la création du compte frauduleux et le moment où la victime réalise que quelqu'un d'autre contrôle une identité associée à son email.

Selon les informations publiées par Bloomberg, TechTimes et Shattered.io, environ 5 000 comptes Dropbox ont été touchés, dont les fichiers d'environ 1 500 d'entre eux ont été effectivement consultés et téléchargés par les attaquants. Dropbox n'a pas précisé la nature des fichiers exfiltrés, mais l'accès à un compte Dropbox d'entreprise ou personnel peut révéler des documents sensibles, des contrats, des données personnelles, voire des identifiants stockés dans des fichiers de configuration ou des gestionnaires de mots de passe exportés.

Tous les comptes compromis partagent un dénominateur commun identifié par Dropbox dans son rapport d'incident : l'absence d'authentification multi-facteurs (MFA). Cette corrélation n'est pas fortuite. Dans le flux SSO exploité, un mécanisme MFA côté Dropbox aurait constitué une couche de vérification supplémentaire que l'attaquant aurait dû franchir même après avoir obtenu un accès initial via Lenovo ID. Avec le MFA désactivé, l'accès via le SSO frauduleux suffisait à ouvrir la session complète sans friction supplémentaire.

Dropbox a sécurisé les comptes affectés dès la détection de l'activité suspecte et a notifié les régulateurs compétents ainsi que les utilisateurs touchés, conformément aux obligations du RGPD en Europe et aux lois de notification des États américains. L'entreprise a également travaillé avec Lenovo pour corriger la faille de vérification d'email dans le système Lenovo ID, selon les informations rapportées par 9to5Mac et American Bazaar Online.

Du côté de Lenovo, la correction du processus d'inscription a consisté à imposer une vérification explicite de la propriété de l'adresse email avant toute association d'un compte Lenovo ID à un service tiers via SSO. Cette mesure est considérée comme un prérequis de base dans les bonnes pratiques de gestion des identités (IAM), mais son absence dans ce cas précis illustre comment des implémentations SSO complexes — impliquant plusieurs fournisseurs d'identité — créent des surfaces d'attaque non évidentes qui peuvent rester invisibles pendant de longs mois avant d'être exploitées.

L'incident Dropbox-Lenovo n'est pas isolé. Des variantes similaires d'exploitations SSO ont été documentées ces dernières années contre des services utilisant la connexion via des comptes Google, Facebook ou Apple, notamment via des failles dans la gestion des identifiants email non vérifiés. Ce vecteur est particulièrement dangereux dans les environnements d'entreprise où les employés utilisent leur adresse professionnelle pour s'inscrire à des services SaaS sans passer par les circuits de provisioning informatique, créant des « shadow IT » accounts non gérés par les équipes de sécurité.

Les leçons d'une compromission sans phishing ni bruteforce

L'incident Dropbox-Lenovo illustre une catégorie de menace croissante que les équipes de sécurité doivent intégrer dans leurs modèles de risque : les attaques sur la chaîne d'identité fédérée. À mesure que les organisations adoptent des écosystèmes SSO complexes — avec des dizaines de fournisseurs d'identité partenaires, des applications SaaS interconnectées et des flux OAuth/OIDC multiples — chaque maillon de cette chaîne devient un vecteur potentiel. La sécurité globale du système est limitée par celle de son maillon le plus faible, et ce maillon peut être un partenaire tiers sur lequel l'organisation n'a aucun contrôle direct.

Pour les RSSI, cet incident soulève plusieurs questions opérationnelles urgentes. Combien d'applications SaaS de l'organisation acceptent des connexions SSO via des fournisseurs d'identité tiers non contrôlés ? Ces fournisseurs ont-ils des mécanismes de vérification d'email robustes ? Le MFA est-il imposé comme condition non négociable sur toutes les applications exposant des données sensibles, y compris pour les flux SSO ? Ces questions ne relèvent pas de la théorie mais d'une réalité opérationnelle que des milliers d'organisations affrontent chaque jour sans nécessairement le savoir.

La durée de l'incident — 17 jours avant détection — est également un signal d'alarme. Dans un environnement où le MFA est absent et où les logs d'authentification SSO ne sont pas supervisés par un SIEM ou un outil CASB (Cloud Access Security Broker), ce type d'accès non autorisé peut passer totalement inaperçu. Les attaquants qui opèrent avec discernement, en accédant aux comptes de manière progressive et en téléchargeant des fichiers à un rythme qui ne déclenche pas d'alertes de volume, peuvent maintenir un accès persistant pendant des semaines avant d'être découverts.

Sur le plan réglementaire, les 5 000 comptes compromis incluent vraisemblablement des utilisateurs européens, ce qui engage la responsabilité de Dropbox au titre du RGPD. La notification aux autorités de contrôle dans les 72 heures suivant la prise de connaissance est une obligation, mais l'amende potentielle dépend de l'évaluation du niveau de diligence mis en œuvre avant l'incident. L'absence de MFA obligatoire sur un service de stockage cloud contenant des données potentiellement sensibles pourrait être interprétée comme un manquement aux mesures techniques appropriées prescrites par l'article 32 du RGPD.

Ce qu'il faut retenir

• Activer le MFA sur tous les comptes Dropbox et services SaaS connectés : c'est la mesure préventive numéro un contre ce type d'attaque SSO sans mot de passe.
• Auditer les fournisseurs d'identité tiers acceptés dans vos flux SSO et exiger des garanties contractuelles sur leurs pratiques de vérification d'email.
• Déployer un CASB ou superviser les logs d'authentification SSO dans votre SIEM pour détecter les connexions inhabituelles avant qu'elles ne durent 17 jours.