Indice dell'articolo
Gli accessi non autorizzati sono avvenuti tra il 4 e il 21 agosto 2026. Il punto operativo per PMI e MSP non è soltanto attivare l’MFA: occorre anche censire e riesaminare le integrazioni di identità rimaste attive nel tempo.
Secondo le dichiarazioni di Dropbox raccolte da Reuters, che circa 5.000 account sono stati compromessi in agosto attraverso account collegati a Lenovo ID. In meno di un terzo dei casi gli attaccanti hanno anche visualizzato o scaricato file. Tutti gli account compromessi erano privi dell’autenticazione a più fattori di Dropbox.
Non è quindi corretto affermare che siano stati sottratti file da tutti i 5.000 account. Il numero comunicato riguarda gli account ai quali è stato ottenuto accesso; l’accesso ai contenuti è stato rilevato in una quota inferiore a un terzo.
Che cosa è confermato
- Gli accessi non autorizzati osservati da Dropbox si sono verificati tra il 4 e il 21 agosto 2026.
- Sono stati compromessi circa 5.000 account Dropbox; in meno di un terzo sono stati visualizzati o scaricati file.
- Gli account interessati erano collegati a Lenovo ID e non avevano attivato la MFA di Dropbox.
- Secondo le notifiche di Dropbox visionate da Bloomberg, un problema nel processo di verifica email di Lenovo consentiva di registrare Lenovo ID con l’indirizzo email di utenti Dropbox e di usare poi quell’identità per accedere all’account associato.
- Lenovo ha descritto il componente coinvolto come una “legacy integration” che poteva autenticare impropriamente alcuni account Dropbox; ha inoltre dichiarato che i propri clienti non erano interessati e che l’indagine era ancora in corso.
- Dropbox ha terminato le sessioni autenticate tramite Lenovo ID, rimosso i collegamenti tra Lenovo ID e account Dropbox e introdotto la richiesta della password Dropbox nel percorso di accesso tramite Lenovo. Ha anche notificato gli utenti interessati e le autorità competenti per la protezione dei dati.
Che cosa non risulta ancora confermato
Al 2 settembre 2026 le fonti consultate non attribuiscono pubblicamente l’operazione a un gruppo specifico, non descrivono l’intero set di dati eventualmente copiato e non pubblicano indicatori tecnici di compromissione. Lenovo ha indicato che l’indagine è in corso.
È inoltre importante distinguere il meccanismo di accesso riportato da un furto generalizzato delle password Dropbox: le comunicazioni disponibili descrivono l’abuso del percorso federato Lenovo ID, non una compromissione dell’intero archivio di credenziali Dropbox.
La lettura operativa per PMI e MSP
Valutazione, non fatto accertato sull’incidente: il caso mostra il rischio delle relazioni di fiducia tra servizi. Anche quando il servizio principale è amministrato correttamente, una vecchia integrazione di identità può diventare un percorso alternativo di accesso. L’assenza di MFA ha eliminato un controllo aggiuntivo che, in questo caso, Dropbox indica come comune a tutti gli account compromessi.
Inferenza prudente: non basta verificare le password. Per gli account potenzialmente coinvolti è opportuno trattare come esposti anche sessioni, condivisioni, applicazioni collegate e contenuti consultabili durante la finestra temporale, finché i log non permettono di restringere il perimetro. Questa è una misura di risposta al rischio, non la prova che tali elementi siano stati usati dagli attaccanti.
Checklist immediata per PMI
- Verificare le comunicazioni ufficiali: controllare se Dropbox ha inviato una notifica all’indirizzo amministrativo o agli utenti, senza affidarsi ai link contenuti in email inattese; accedere direttamente al portale.
- Attivare l’MFA: abilitarla su ogni account Dropbox e, dove disponibile, preferire passkey o chiavi di sicurezza. Dropbox raccomanda password uniche, MFA e consente l’uso di chiavi fisiche e passkey.
- Controllare le sessioni: nella scheda Sicurezza verificare dispositivi, browser web e indirizzi IP recenti; terminare le sessioni non riconosciute.
- Cambiare la password se l’account è stato notificato o mostra anomalie: usare una password lunga, casuale e non riutilizzata altrove.
- Esaminare attività e condivisioni: cercare download, visualizzazioni, modifiche, nuove condivisioni o collegamenti pubblici nel periodo dal 4 al 21 agosto e nei giorni successivi.
- Classificare i file coinvolti: verificare se gli account contenevano dati personali, credenziali, documenti finanziari, contratti o proprietà intellettuale; coinvolgere tempestivamente responsabile privacy/DPO e consulenza legale quando necessario.
- Diffidare dal phishing di follow-up: una notizia pubblica su un incidente può essere usata per email che imitano reset password o notifiche di sicurezza.
Checklist tecnica per MSP e amministratori
- Creare il perimetro: inventariare tenant, account personali usati per lavoro, domini email aziendali e precedenti associazioni con Lenovo ID.
- Applicare MFA a livello di policy: misurare la copertura reale, aprire eccezioni nominative e con scadenza e rimuovere gli account non governati.
- Raccogliere e conservare i log: esportare eventi di autenticazione, dispositivi, IP, attività sui file e condivisioni per la finestra 4-21 agosto 2026, estendendola prima e dopo per individuare persistenza o attività correlate.
- Riesaminare le federazioni: censire SSO, social login, identity provider, OAuth e applicazioni collegate; eliminare integrazioni inutilizzate e verificare proprietario, ultimo utilizzo e metodo di revoca.
- Revocare dove opportuno: invalidare sessioni e token sospetti, rimuovere dispositivi sconosciuti e ruotare eventuali segreti conservati nei file potenzialmente consultati.
- Usare gli alert disponibili: nei piani supportati, la console Dropbox espone alert con soggetto, evento, momento e file, cartelle o persone coinvolte.
- Documentare la decisione privacy: registrare evidenze, categorie di dati, interessati, conseguenze e misure adottate; valutare gli obblighi di notifica con DPO o consulente, senza assumere che la segnalazione del fornitore sostituisca quella del titolare.
- Comunicare solo dati verificati: separare account autenticati abusivamente, account con file consultati e account per i quali non vi è evidenza di accesso ai contenuti.
Cosa controllare nei prossimi aggiornamenti
Servono chiarimenti ufficiali sulla causa tecnica completa, sul metodo con cui sono stati selezionati gli indirizzi email, sulla presenza di ulteriori forme di persistenza e sulla conclusione dell’indagine Lenovo. Fino ad allora, questi elementi non vanno presentati come accertati.
Vuoi mettere sotto controllo MFA, accessi e integrazioni cloud? Scopri i servizi gestiti MSP In Cloud.