Dropbox刚刚发生数据泄露

Dropbox是最流行的云存储和协作工具之一。不幸的是，黑客刚刚从Dropbox Sign窃取了大量用户数据，该公司的其他服务可能会受到影响。

Dropbox在一份8-K表格文件中表示，于2024年4月24日意识到未经授权访问Dropbox Sign，这是该公司发送和签署数字合同的服务。Dropbox发现，黑客访问了Dropbox Sign用户的电子邮件和用户名，以及一小部分用户的“电话号码、哈希密码和某些身份验证信息，如API密钥、OAuth令牌和多因素身份验证”。

Dropbox认为此次攻击仅限于Dropbox Sign，但该公司并未完全排除这种可能性。一篇博客文章解释道，“从技术角度来看，Dropbox Sign的基础设施在很大程度上与其他Dropbox服务是分开的。也就是说，我们彻底调查了这一风险，并认为这起事件与Dropbox Sign的基础设施无关，没有影响任何其他Dropbox产品。”

攻击者通过一个服务帐户获得访问权限，该帐户是Dropbox Sign后端基础设施的一部分，该基础设施具有提升的权限和对客户数据库的访问权限。发现攻击后，Dropbox重置了所有受影响的密码，并注销了所有用户。该公司还开始更新在攻击中被盗的所有API密钥和OAuth令牌。

数据泄露是一种常见的情况，所以Dropbox受到攻击并不奇怪，但它们并不总是像电话号码和多因素身份验证那样严重。超过15000个Roku帐户最近被盗，因为它们使用的密码与其他数据泄露中被盗的其他帐户相同，这促使Roku对其所有帐户启用双因素身份验证。康卡斯特去年还发生了一起重大数据泄露事件，影响了多达3600万客户。

Dropbox在一篇博客文章中表示，“我们一直在夜以继日地工作，以减轻客户的风险，我们正在联系所有受此事件影响的需要采取行动的用户，并逐步说明如何进一步保护他们的数据。”

来源：美国证券交易委员会，Dropbox博客通过The Register