Dropbox : la faille de connexion Lenovo invite à revoir les fournisseurs d’identité liés

Une annonce de septembre sur des accès d’août

Dropbox a déclaré à Reuters, dans une dépêche reprise par KELO-AM, qu’environ 5,000 comptes avaient été compromis dans l’incident divulgué le 1 septembre. Ce chiffre porte sur les comptes, pas sur les accès confirmés aux fichiers.

Selon BleepingComputer, Dropbox situe les accès non autorisés entre le 4 et le 21 août. La période d’accès et la date de divulgation doivent rester distinctes. Parler d’une intrusion de septembre modifierait la chronologie.

Le mécanisme d’entrée compte également. BleepingComputer rapporte que des identifiants Lenovo frauduleux pouvaient ouvrir le compte Dropbox portant la même adresse e-mail sans son mot de passe. Le fournisseur de connexion lié est donc au centre du problème. Une revue limitée au mot de passe natif de Dropbox laisserait cette voie hors du périmètre.

Compromission du compte et accès aux fichiers

Dropbox a indiqué à Reuters que des fichiers avaient été consultés dans moins d’un tiers des comptes compromis. Conserver cette fraction évite de lui faire dire davantage. Elle n’établit ni un nombre exact d’accès aux fichiers ni un total précis pour une autre catégorie.

The Next Web rapporte que tous les comptes compromis étaient dépourvus d’authentification multifacteur. Ce constat justifie de revoir les paramètres multifacteurs dans ce contexte. Il ne prouve pas que cette protection neutralise toutes les attaques possibles contre la fédération d’identité ou les sessions.

Dropbox a expliqué à Reuters avoir fermé toutes les sessions authentifiées par Lenovo après avoir identifié des accès non autorisés à des comptes sans authentification à deux facteurs. La réponse visait donc aussi les sessions du fournisseur lié.

The Next Web rapporte que Dropbox a désactivé l’intégration et imposé un mot de passe Dropbox natif pour les accès suivants. Fermer une session existante et modifier la voie de connexion future sont deux mesures distinctes. Une revue devrait examiner les deux.

Dropbox a aussi déclaré à Reuters avoir signalé l’incident aux autorités de protection des données. La dépêche reste le travail d’un seul éditeur même si elle est hébergée par KELO-AM. La syndication ne constitue pas une corroboration indépendante.

Une revue ciblée pour les organisations algériennes

Le lien local dépend de l’usage réel. Une organisation algérienne utilisant Dropbox devrait examiner les fournisseurs de connexion liés, les paramètres multifacteurs et la révocation des sessions. Les faits n’identifient aucune victime algérienne et ne mesurent pas l’adoption locale.

Recenser les voies de connexion autorisées et leurs responsables. Demander comment l’identité affirmée par un fournisseur est acceptée, comment ses sessions sont fermées et ce qui change après la désactivation d’une intégration. Ce sont des questions d’audit, pas la preuve d’une faille identique ailleurs.

Enfin, distinguer l’entrée dans un compte des preuves de consultation de fichiers. Une réponse claire devrait préciser la voie fermée, les accès révoqués et ce que les éléments disponibles permettent réellement de conclure.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Reuters (syndicated by KELO-AM)
• BleepingComputer
• The Next Web