Alerte rouge ! Dropbox a été victime d’une cyberattaque. Selon l’entreprise, plus de 5 000 comptes auraient été compromis. Et les pirates auraient aussi pu consulter et télécharger des contenus stockés sur la plateforme.
Le problème aurait été découvert après plusieurs accès non autorisés enregistrés entre le 4 et le 21 août 2026. L’entreprise contacte actuellement les utilisateurs concernés par e-mail pour les informer de l’incident.
Comment les hackers s’y sont pris ?
À première vue, Dropbox semblait être la cible. Pourtant, la porte d’entrée se trouvait ailleurs, chez Lenovo. Le constructeur fournit à Dropbox un système de connexion unique, ou SSO.
Celui-ci permet aux utilisateurs de se connecter à Dropbox avec leur Lenovo ID, sans avoir à saisir leur mot de passe Dropbox. Voilà justement qui posait problème.
Car, voyez-vous, une vulnérabilité permettait de créer un Lenovo ID en utilisant l’adresse e-mail de pratiquement n’importe qui. Et puis, Lenovo ne vérifiait pas réellement que la personne contrôlait cette adresse.
Pour un pirate, la suite était donc du gâteau. Il lui suffisait de créer ce faux compte, puis de choisir « Se connecter avec Lenovo » sur Dropbox.
Lenovo transmettait alors à Dropbox un jeton contenant l’adresse e-mail de la victime, en la présentant comme « vérifiée ». Dropbox faisait confiance à cette information et ouvrait directement une session.
Pas besoin de mot de passe Dropbox. Ni de double authentification. Et surtout, aucune alerte pour prévenir le véritable propriétaire qu’un Lenovo ID venait d’être associé à son compte.
Êtes-vous parmi les comptes Dropbox concernés ?
Eh bien, la première chose à faire est de surveiller votre boîte e-mail. Comme dit tout haut, Dropbox contacte directement les utilisateurs concernés par l’incident. Si vous recevez un message officiel du service au sujet de cette attaque, c’est que vous l’êtes. Mieux vaut donc ne pas l’ignorer.
Vous pouvez également rester attentif à des codes de vérification Lenovo que vous n’avez jamais demandés. Plusieurs victimes ont raconté la même chose sur les réseaux sociaux.
so dropbox got hacked (never had a Lenovo account, haven't been to UK) pic.twitter.com/UoYRaJFuEC
— yoni | parser.eth (@yonilevy) August 31, 2026
Certaines ont même remarqué des connexions suspectes compte Dropbox semblant provenir de la région de Dublin, en Irlande. Un détail qui pourrait indiquer l’utilisation d’un VPN par les attaquants pour masquer leur véritable localisation.
Ces indices, bien qu’ils ne prouvent pas à eux seuls que votre compte a été compromis, doivent vous mettre la puce à l’oreille. Mais aussi, vous inciter à vérifier rapidement votre sécurité.
Dans tous les cas, si vous pensez être concerné, mieux vaut ne pas attendre qu’un pirate fasse le premier pas. Changez votre mot de passe Dropbox, modifiez également celui de votre adresse e-mail et activez la double authentification.
De son côté, Dropbox n’a pas attendu pour corriger le tir. Le service a révoqué les sessions ouvertes grâce à Lenovo et supprimé les associations concernées entre les comptes Lenovo et Dropbox.
Désormais, impossible de profiter de cette faille pour entrer directement dans un compte. Dropbox exige d’abord la saisie du mot de passe Dropbox avant d’autoriser l’association avec un Lenovo ID.
- Partager l'article :
