Comment une vieille passerelle Lenovo a ouvert des milliers de comptes Dropbox aux pirates

Un progrès notable façonne le secteur de l’IA : Publié le 02 septembre 2026 à 17h20 Cyberguerre Sécurité informatique B2B Entreprise Comment une vieille passerelle Lenovo a ouvert des milliers de comptes Dropbox aux pirates Le combo 2 min Amine Baba Aissa Amine Baba Aissa 2 min 2 min Amine Baba Aissa Amine Baba Aissa Ne plus voir cette pub Lecture Zen Résumer l'article Résumé de l'article Résumé par IA, vérifié par Numerama ? Nous générons pour vous un résumé de l’article grâce à une IA et nous le vérifions afin de nous assurer qu’il n’y ait aucune erreur, pour garantir l’authenticité de l’info. En savoir plus Entre le 4 et le 21 août 2026, des pirates ont exploité une faille dans l'authentification entre Lenovo et Dropbox pour accéder à près de 5 000 comptes.

Les attaquants ont pu contourner les mots de passe en créant des identifiants Lenovo frauduleux associés aux adresses e-mail des victimes Dropbox. Suite à cette faille, Dropbox a désactivé l'intégration, et recommande l'activation de l'authentification à deux facteurs pour plus de sécurité. Entre le 4 et le 21 août 2026, des pirates ont exploité une faille dans l'authentification entre Lenovo et Dropbox pour accéder à près de 5 000 comptes.

Détails techniques

Les attaquants ont pu contourner les mots de passe en créant des identifiants Lenovo frauduleux associés aux adresses e-mail des victimes Dropbox. Suite à cette faille, Dropbox a désactivé l'intégration, et recommande l'activation de l'authentification à deux facteurs pour plus de sécurité. Recevez tous les soirs un résumé de l’actu importante avec Le Récap’ Une intégration d'authentification unique tombée dans l'oubli a permis à un inconnu de s’emparer de comptes Dropbox sans jamais connaître le moindre mot de passe.

Ce sont deux poids lourds de la tech qui se retrouvent au cœur du même incident de sécurité. Entre le 4 et le 21 août 2026, des pirates ont exploité une vulnérabilité dans le processus d’authentification reliant Lenovo et Dropbox, pour accéder illégalement à près de 5 000 comptes de stockage. Dropbox, qui a commencé à notifier les utilisateurs concernés dès le 31 août, indique que les attaquants ont pu consulter et télécharger des fichiers dans près d’un tiers des comptes compromis.

Comment la faille a fonctionné Le cœur du problème repose sur deux maillons faibles. Dropbox s’est appuyé sur Lenovo comme fournisseur d’identité fédérée, permettant à un utilisateur de se connecter à son compte Dropbox avec un identifiant Lenovo « vérifié » plutôt qu’avec un mot de passe. Et la première faille réside dans l’enregistrement Lenovo ID.

Des attaquants ont réussi à créer des identifiants Lenovo en utilisant les adresses e-mail de victimes Dropbox, sans avoir besoin d’accéder à leurs boîtes mail. Une fois ces Lenovo ID frauduleux créés, ils ont pu s’en servir pour s’authentifier directement sur les comptes Dropbox associés via le mécanisme de SSO (single sign-on).

Ce développement devrait intensifier la concurrence dans le domaine de l’IA.