Un Login che Nessuno Ha Dovuto Indovinare

Dropbox ha rivelato il 2 settembre 2026 che circa 5.000 account sono stati compromessi a causa di una falla nel sistema di identità di Lenovo, non nel controllo password di Dropbox stesso. La finestra di accesso è andata dal 4 al 21 agosto 2026, prima che Dropbox se ne accorgesse. Un utente colpito ha descritto il primo segnale che qualcosa non andava: la pagina di login di Dropbox ha iniziato a offrire un'opzione "Continue with SSO" per la sua email, anche se non aveva mai creato un ID Lenovo.

Il meccanismo era semplice, una volta scoperto. Un aggressore poteva registrare un ID Lenovo usando l'indirizzo email di una vittima, e il processo di verifica di Lenovo non richiedeva che quella persona dimostrasse di controllare davvero quella casella di posta. I sistemi di Dropbox, che anni prima avevano integrato i Lenovo Identity Provider Services per il single sign-on, trattavano poi quell'ID Lenovo appena creato e non verificato come prova sufficiente per sbloccare l'account Dropbox corrispondente. Lenovo ha dichiarato che, una volta identificato il problema, l'azienda e Dropbox hanno collaborato per mitigare il rischio.

Il Difetto Non Era Mai Nella Password di Dropbox

Ecco il dettaglio su cui vale la pena riflettere: nessuna password Dropbox è stata indovinata, trafugata o riutilizzata. I 5.000 account colpiti non sono stati violati perché i loro proprietari avevano scelto credenziali deboli. Sono stati violati perché Dropbox, a un certo punto, aveva deciso di lasciare che una seconda azienda garantisse per l'identità del titolare di un'email, senza mai riesaminare se il processo di garanzia di quell'azienda fosse davvero affidabile.

L'autenticazione a due fattori avrebbe fermato ognuna di queste violazioni, perché nessuno dei 5.000 account colpiti l'aveva attivata. Ma la lezione più precisa non è semplicemente attivate l'autenticazione a due fattori. È che un login federato non è una comodità accanto alla vostra vera sicurezza; nel momento in cui lo attivate, la qualità della verifica del partner diventa la qualità della verifica del vostro prodotto, che l'abbiate controllata o no.

Ogni Azienda che Accetta l'Accesso con X Ha Questa Domanda

Dropbox non è un'azienda insolitamente negligente, e questa non è la storia dell'errore di un singolo fornitore. È la storia di una categoria di difetto che esiste in ogni prodotto che abbia mai aggiunto, per comodità, un pulsante Accedi con Google, Accedi con Microsoft o Accedi con l'ID di un produttore hardware. Ognuno di quei pulsanti estende silenziosamente il perimetro di sicurezza del vostro prodotto fino a includere un sistema che non controllate e che raramente riesaminate dopo il lancio dell'integrazione.

Il test pratico per qualsiasi responsabile è specifico: per ogni login di terze parti che il vostro prodotto accetta, sapete esattamente come quel fornitore conferma che qualcuno possiede davvero quell'indirizzo email prima di consegnare al vostro prodotto una sessione verificata? Se la risposta onesta è abbiamo semplicemente dato per scontato che lo controllassero bene, quella supposizione è l'intera superficie di attacco, e questo incidente è ciò che accade quando quella supposizione si rivela sbagliata.

Cosa Ha Cambiato Dropbox

La correzione di Dropbox è stata strutturale, non cosmetica. Ha fatto scadere ogni sessione ID Lenovo esistente, ha rimosso del tutto il collegamento tra gli ID Lenovo e gli account Dropbox, e ora richiede la vera password Dropbox dell'utente prima che un accesso collegato a Lenovo possa procedere, chiudendo esattamente la falla che permetteva a un'identità appena creata e non verificata di sostituirsi a un account già posseduto.

Questa è la correzione giusta, ed è anche quella che sarebbe dovuta essere l'impostazione predefinita fin dall'inizio: l'attestazione di identità di un partner dovrebbe estendere una sessione già esistente e già autenticata, mai crearne una nuova da sola.

Servola Journal

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non dovrebbe dipendere da chi se lo può permettere.

Se oggi vi ha dato qualcosa, diteci di continuare. Seguiteci, lasciate un like, o scrivete un commento positivo. Li leggiamo tutti, e sono loro che ci tengono in movimento.

Da leggere ora: 8,7 milioni di dati, una chiave visibile a tutti  |  Rhysida ha una mappa dei punti deboli idrici a Berlino