Dropbox hatte gerade eine Datenpanne

Dropbox ist eines der beliebtesten Tools für Cloud-Speicher und Zusammenarbeit. Leider haben Hacker gerade eine Menge Benutzerdaten von Dropbox Sign gestohlen, und die anderen Dienste des Unternehmens könnten möglicherweise betroffen sein.

Wie Dropbox in einem Formular 8-K mitteilte, wurde das Unternehmen am 24. April 2024 auf einen unbefugten Zugriff auf Dropbox Sign, den Dienst des Unternehmens zum Versenden und Unterzeichnen digitaler Verträge, aufmerksam. Dropbox entdeckte, dass der Hacker auf E-Mails und Benutzernamen von Dropbox Sign-Nutzern sowie auf "Telefonnummern, gehashte Passwörter und bestimmte Authentifizierungsinformationen wie API-Schlüssel, OAuth-Tokens und Multi-Faktor-Authentifizierung" für eine kleinere Gruppe von Nutzern zugegriffen hatte.

Dropbox geht davon aus, dass sich der Angriff auf Dropbox Sign beschränkte, konnte ihn aber nicht vollständig ausschließen. In einem Blogbeitrag heißt es: "Aus technischer Sicht ist die Infrastruktur von Dropbox Sign weitgehend von den anderen Dropbox-Diensten getrennt. Wir haben dieses Risiko jedoch gründlich untersucht und glauben, dass dieser Vorfall auf die Dropbox Sign-Infrastruktur beschränkt war und keine anderen Dropbox-Produkte betroffen waren."

Der Angreifer verschaffte sich Zugang über ein Dienstkonto, das Teil der Backend-Infrastruktur von Dropbox Sign war und über erhöhte Berechtigungen und Zugriff auf die Kundendatenbank verfügte. Nachdem der Angriff entdeckt wurde, setzte Dropbox alle betroffenen Passwörter zurück und meldete alle Benutzer ab. Das Unternehmen hat außerdem damit begonnen, alle API-Schlüssel und OAuth-Tokens, die bei dem Angriff gestohlen wurden, zu aktualisieren.

Datenschutzverletzungen sind keine Seltenheit, daher ist es nicht allzu überraschend, dass Dropbox betroffen war, aber sie gehen nicht immer so weit wie Telefonnummern und Multi-Faktor-Authentifizierung. Kürzlich wurden mehr als 15.000 Roku-Konten gestohlen, weil sie dieselben Passwörter verwendeten wie andere Konten, die bei anderen Datenschutzverletzungen gestohlen wurden, was Roku dazu veranlasste , die Zwei-Faktor-Authentifizierung für alle Konten zu aktivieren. Auch bei Comcast kam es im vergangenen Jahr zu einem schwerwiegenden Datenmissbrauch, von dem bis zu 36 Millionen Kunden betroffen waren.

Dropbox sagte in einem Blogbeitrag: "Wir arbeiten rund um die Uhr daran, das Risiko für unsere Kunden zu minimieren, und wir sind dabei, alle von diesem Vorfall betroffenen Nutzer, die Maßnahmen ergreifen müssen, mit einer Schritt-für-Schritt-Anleitung zu erreichen, wie sie ihre Daten weiter schützen können."

Quelle: SEC, Dropbox Blog via The Register