Peretas Retas 5.000 Akun Dropbox Lewat Celah Verifikasi Lenovo ID

Telset.id – Sekitar 5.000 akun pengguna Dropbox berhasil dibobol peretas dengan mengeksploitasi celah pada proses verifikasi Lenovo ID. Insiden ini memungkinkan pihak tak berwenang mengakses akun Dropbox yang terhubung dengan alamat email korban, menyoroti risiko integrasi layanan pihak ketiga yang tidak diaudit.

Dropbox mulai mengirimkan notifikasi kepada individu yang terdampak pada awal pekan ini. Dalam email pemberitahuan pelanggaran data, perusahaan menjelaskan bahwa kemitraan dengan Lenovo sebagai penyedia identitas memungkinkan pengguna masuk menggunakan Lenovo ID yang terverifikasi. Namun, investigasi mengungkapkan adanya masalah pada proses verifikasi email Lenovo yang dieksploitasi pihak tak berwenang.

Modus operandi peretas terbilang sederhana. Mereka hanya membutuhkan alamat email korban untuk mendaftarkan Lenovo ID dan menggunakannya guna masuk ke akun Dropbox yang terkait. Serangan ini berlangsung antara 4 hingga 21 Agustus, dengan sebagian besar akun yang diakses tidak mengaktifkan autentikasi dua faktor (2FA).

Dari total akun yang terdampak, sekitar sepertiganya memiliki bukti bahwa dokumen tersimpan telah dilihat atau diunduh. Celah keamanan ini telah diperbaiki, dan Dropbox mengambil langkah tambahan untuk melindungi privasi penggunanya. Perusahaan mengaku telah “segera mengakhiri semua sesi yang masuk melalui Lenovo ID” dan menghentikan semua tautan antara akun Lenovo dan Dropbox.

Langkah Perbaikan dan Imbauan Keamanan

Kini, Dropbox mewajibkan pengguna untuk memasukkan kata sandi saat masuk melalui Lenovo ID. “Tidak ada yang dapat mengakses akun Dropbox Anda melalui Lenovo ID tanpa terlebih dahulu memasukkan kata sandi Dropbox Anda,” demikian pernyataan perusahaan. Meski demikian, Dropbox tetap mengimbau pengguna untuk mengubah kata sandi, mengaktifkan verifikasi dua langkah, dan mengganti kata sandi akun email mereka.

Muhammad Yahya Patel, vCISO dan penasihat keamanan siber untuk EMEA di Huntress, menegaskan bahwa setiap akun yang dikompromikan tidak memiliki autentikasi multi-faktor. “Pada 2026, untuk akun penyimpanan cloud yang menyimpan data, itu adalah celah yang tidak bisa dipertahankan dan celah yang bisa ditutup sendiri oleh pengguna terlepas dari apa yang dilakukan atau tidak dilakukan Lenovo atau Dropbox dengan integrasi lama mereka,” ujarnya.

Patel juga menyoroti kombinasi jalur autentikasi pihak ketiga yang tidak direview dan akun tanpa MFA sebagai undangan terbuka bagi peretas. “Pelajaran praktisnya sederhana dan berlaku jauh melampaui insiden spesifik ini. Setiap organisasi dan setiap individu harus secara berkala mengaudit layanan pihak ketiga mana yang memiliki akses autentikasi ke akun mereka. Hibah OAuth, koneksi SSO, dan integrasi login pihak ketiga terakumulasi secara diam-diam dan jarang dihapus ketika hubungan yang menciptakannya berakhir,” imbuhnya.

Insiden ini menjadi pengingat pentingnya audit keamanan berkala terhadap layanan pihak ketiga yang terhubung dengan akun penting. Pengguna layanan cloud storage perlu memahami bahwa integrasi login yang tampak memudahkan justru bisa menjadi celah masuk bagi peretas jika tidak dikelola dengan baik.

Kerentanan pada integrasi layanan semacam ini menunjukkan bahwa rantai autentikasi hanya sekuat mata rantai terlemahnya. Ketika sebuah perusahaan mempercayakan proses verifikasi identitas kepada mitra pihak ketiga, celah sekecil apa pun pada proses tersebut dapat berdampak luas pada pengguna akhir yang mungkin tidak menyadari keterkaitan tersebut.

Bagi pengguna Dropbox yang pernah menggunakan Lenovo ID untuk masuk, langkah proaktif seperti mengaktifkan verifikasi dua langkah menjadi krusial. Fitur keamanan tambahan ini dapat menjadi penghalang terakhir yang mencegah akses tidak sah, bahkan ketika metode autentikasi utama telah dikompromikan.

Insiden peretasan ini juga menjadi pelajaran bagi penyedia layanan cloud storage untuk secara berkala mengevaluasi kemitraan autentikasi mereka. Integrasi yang sudah tidak relevan atau jarang digunakan sebaiknya dihapus untuk mengurangi permukaan serangan yang dapat dieksploitasi peretas.

Dengan semakin banyaknya layanan digital yang saling terhubung, risiko keamanan data menjadi semakin kompleks. Pengguna perlu lebih waspada terhadap layanan pihak ketiga yang memiliki akses ke akun mereka dan secara berkala meninjau kembali izin yang pernah diberikan.

Dropbox sendiri telah mengambil langkah perbaikan dengan memutus tautan antara Lenovo ID dan akun Dropbox. Namun, dampak dari insiden ini menunjukkan bahwa keamanan siber bukan hanya tanggung jawab penyedia layanan utama, melainkan juga kesadaran pengguna untuk melindungi akun mereka dengan lapisan keamanan tambahan.

Para ahli keamanan menyarankan pengguna untuk tidak hanya mengandalkan satu metode autentikasi. Kombinasi kata sandi kuat, autentikasi dua faktor, dan audit berkala terhadap aplikasi serta layanan yang terhubung dapat secara signifikan mengurangi risiko peretasan akun.

Insiden yang melibatkan sekitar 5.000 akun Dropbox ini menjadi salah satu contoh bagaimana celah pada proses verifikasi mitra dapat berdampak pada pengguna layanan utama. Meskipun jumlahnya relatif kecil dibandingkan basis pengguna Dropbox secara keseluruhan, insiden ini menyoroti pentingnya evaluasi menyeluruh terhadap rantai autentikasi digital.

Bagi pengguna yang khawatir akunnya terdampak, disarankan untuk segera mengubah kata sandi Dropbox dan akun email terkait, serta mengaktifkan verifikasi dua langkah jika belum dilakukan. Langkah-langkah sederhana ini dapat menjadi pertahanan efektif terhadap upaya akses tidak sah di masa mendatang.