- 发布日期
联想ID无需验证码就可注册 导致大量Dropbox账号被黑客访问
- 作者
- 姓名
- 荷鲁斯快报
- 社交账号
近日，多名Dropbox用户收到安全通知，提示其账户在2026年8月4日至21日期间遭到了未经授权的访问。这一系列安全事件并非源于Dropbox自身系统被攻破，而是由联想ID的注册漏洞及其与Dropbox的单点登录机制结合所引发。安全研究人员指出，该攻击链暴露了跨平台账户关联中的一个严重信任缺陷。
事件的根本原因在于联想ID注册流程中的一个邮箱验证漏洞。攻击者仅需知道目标用户的电子邮件地址，就可以利用该邮箱创建一个新的联想账号，且整个过程无需进行任何邮件验证码验证以证明邮箱归属权。这意味着攻击者可以轻易冒充合法用户建立身份凭证。
该漏洞的影响因Dropbox与联想之间的长期云存储合作而被急剧放大。Dropbox的单点登录机制会信任由联想身份提供商提供的用户信息。当攻击者使用伪造的联想ID登录时，Dropbox系统会自动匹配该邮箱对应的现有Dropbox账户，并直接授予其完全访问权限，无需输入账户密码或进行二次验证。更严重的是，许多受害者此前从未主动注册过联想ID或绑定过Dropbox。
在发现安全事件后，Dropbox已迅速采取应对措施。公司强制注销了所有通过联想ID建立的用户会话，并解除了受影响账户与联想ID的关联。目前，用户若想继续通过联想ID访问Dropbox，必须重新输入其Dropbox账户密码进行验证，直接登录通道已被关闭。Dropbox的安全团队正在持续监控后续情况。
根据Dropbox公布的调查报告，在攻击窗口期内，确实有部分账户被黑客成功访问。但报告同时指出，目前的日志审计并未发现用户文件被查看或下载的直接证据。尽管如此，此次事件已对用户信任造成冲击，并凸显了第三方身份验证流程中存在的风险。
目前，联想公司尚未就其ID系统的漏洞发布任何公开的安全公告或详细说明。此次事件为所有提供单点登录功能的互联网服务敲响了警钟。未来，云存储服务商与硬件厂商在深化合作时，必须将账户关联环节的安全验证标准提升到更高水平，以防止类似的身份伪造攻击再次发生。
