드롭박스 약 5,000계정 무단 접근 보도 - 비밀번호 없이 통과한 레노버 ID 연동

보안 매체들이 인용한 이용자 안내에 따르면 드롭박스가 일부 이용자에게 계정 무단 접근 사실을 알렸습니다. 대상은 약 5,000개 계정이고, 무단 접근이 일어난 기간은 2026년 8월 4일부터 21일까지입니다. 일부 계정에서는 저장된 파일이 열리거나 내려받아진 흔적이 확인됐습니다.

보도에서 설명한 공격은 피해자의 드롭박스 비밀번호를 알 필요가 없었다는 점이 특징입니다. 이것이 다른 경로의 비밀번호 유출까지 전혀 없었다는 뜻은 아닙니다. 드롭박스는 여러 로그인 수단 가운데 하나로 레노버 ID 를 받아 주고 있었습니다. 문제는 레노버 쪽에서 새 ID 를 만들 때 이메일 주소가 정말 그 사람 것인지 확인하는 절차가 허술했다는 데 있었습니다.

공격은 세 단계였다

• 공격자가 피해자의 이메일 주소로 레노버 ID 를 새로 만든다. 레노버의 이메일 확인 절차가 이를 막지 못했다.
• 그 레노버 ID 로 드롭박스에 로그인한다.
• 드롭박스는 「레노버가 확인한 이메일」이라는 이유로, 같은 이메일로 가입된 기존 드롭박스 계정을 비밀번호 없이 열어 준다.

피해자는 레노버 ID 를 만든 적이 없어도 당할 수 있었습니다. 필요한 것은 피해자의 이메일 주소 하나였습니다. Cyber Security News 는 피해 계정에 드롭박스 2단계 인증이 설정되지 않았다고 전했습니다. 다만 TechRadar 본문에는 「대부분」이라는 설명도 있어, 전체 피해 계정에 대한 동일한 조건으로 확정하지는 않습니다.

레노버와 드롭박스의 설명

레노버는 원인을 드롭박스와 오래전부터 이어 온 연동 구조로 지목했고, 레노버 자체 고객에게는 피해가 없다고 했습니다. 드롭박스는 레노버 ID 로 인증된 세션을 모두 끊고, 앞으로는 레노버 ID 로 들어오더라도 드롭박스 비밀번호를 한 번 더 입력하도록 절차를 바꿨습니다.

“No one can access your Dropbox account via a Lenovo ID without first entering your Dropbox password.”

피해 이용자에게 드롭박스가 요청한 것은 세 가지입니다. 드롭박스 비밀번호를 새로 정하고, 이메일 계정의 비밀번호도 바꾸고, 2단계 인증을 켜는 것입니다. 아울러 지금 로그인돼 있는 기기, 계정에 붙어 있는 외부 앱, 남이 열 수 있는 공유 링크, 최근 파일 기록, 계정 복구용 연락처가 자기가 정한 그대로인지 훑어보라고 했습니다.