Dropbox披露约5000个账户遭入侵：攻击者利用联想ID单点登录漏洞切入未启用MFA的账户

根据用户收到的通知邮件，部分账户在8月4日至8月21日期间遭未授权访问，另有一些用户被告知没有证据显示其文件被查看。Dropbox发言人Tim Rathschmidt表示，公司在发现问题后立即采取措施保护账户安全，并已通知监管机构与受影响用户。

攻击路径指向第三方身份体系：黑客利用联想ID（Lenovo ID）单点登录（SSO）机制的漏洞。由于联想的邮箱验证流程存在问题，攻击者得以使用Dropbox用户的电子邮箱注册联想ID——即使用户从未注册过联想账户——进而通过该ID登录Dropbox账户。

Dropbox表示，被入侵的账户均未启用多因素认证（MFA），公司随后切断了联想ID登录机制并采取补救措施。这起事件凸显"关联身份提供方"正在成为云账户的新攻击面：即便主平台自身认证机制无虞，第三方SSO的验证缺陷仍可导致账户整体失陷。

对企业与个人的启示是，跨平台联合身份的信任关系应纳入数据访问审查范围，对支持SSO的账户强制开启MFA，并对第三方身份提供方的验证流程做独立评估；同时应把AI助手与协作工具视作特权主体，纳入非人类身份治理与密钥轮换机制。