클라우드 저장소 서비스 Dropbox의 일부 사용자 계정이 Lenovo의 이메일 인증 취약점을 통해 무단 접근당하는 사건이 발생했습니다. 공격자는 Lenovo의 이메일 인증 절차의 결함을 악용해 피해자의 이메일 주소로 가짜 Lenovo 계정(ID)을 만들었고, 이를 이용해 비밀번호 없이 동일 이메일로 등록된 Dropbox 계정에 로그인했습니다. Dropbox가 Lenovo의 인증 결과를 그대로 신뢰하는 구조적 문제가 원인이었으며, 약 5,000개 계정이 피해를 입고 일부 파일이 열람·다운로드된 것으로 알려졌습니다. 공격은 8월 4일부터 21일 사이에 이루어졌으며, Dropbox는 Lenovo ID로 인증된 모든 세션을 강제 만료하고 추가 비밀번호 입력을 의무화하는 조치를 취했습니다. 현재 두 회사가 협력해 추가 조사를 진행 중입니다.
공격자가 Lenovo의 이메일 인증 취약점을 이용해 피해자 이메일 주소로 가짜 Lenovo ID를 생성한 뒤, 해당 ID로 Dropbox 계정에 비밀번호 없이 로그인했다. 약 5,000개의 계정이 8월 4일~21일 사이에 무단 접근당했으며, 일부 파일이 열람·다운로드되었다.
피해 사용자 약 5,000명의 Dropbox 계정이 무단 접근을 받았고, 저장된 파일 일부가 외부에 유출됐을 가능성이 있다. Lenovo 고객 자체는 영향을 받지 않은 것으로 확인됐다.
Lenovo ID와 Dropbox 간의 레거시(구형) SSO(단일 로그인) 연동 구조에서 Lenovo의 이메일 소유 확인 절차가 허술하게 구현되어 있었다. Dropbox는 Lenovo의 인증 주장을 별도 검증 없이 신뢰했고, 이 점이 악용됐다.
Dropbox는 Lenovo ID로 인증된 모든 세션을 즉시 강제 만료시키고, Lenovo ID 인증 사용 시 기존 Dropbox 비밀번호를 추가로 입력하도록 정책을 변경했다. Lenovo는 해당 레거시 연동의 위험 요소를 Dropbox와 협력하여 완화했으며 조사를 계속하고 있다.
제3자 IdP(신원 공급자)를 통한 SSO 연동 시, 외부 인증 결과를 맹목적으로 신뢰하지 않고 기존 자체 자격증명(비밀번호·MFA)으로 추가 검증하는 구조가 필수다. 사용자는 Dropbox 계정에 2FA(이중 인증)를 즉시 활성화하고 최근 로그인 기록을 점검해야 한다.
본문
Dropbox는 일부 사용자에게 Lenovo의 이메일 인증 절차의 결함을 악용한 무단 접근이 발생했다고 경고하고 있습니다. 공격자는 이 결함을 통해 허위 Lenovo ID를 등록한 뒤 해당 계정으로 피해자의 Dropbox에 로그인했습니다.
피해를 입은 일부 사용자는 Lenovo 계정을 보유하고 있지 않았음에도 불구하고, 클라우드 저장소 업체인 Dropbox는 인증 인프라의 일부로 Lenovo Identity Provider Services를 사용하고 있습니다. 이를 통해 사용자는 인증된 Lenovo ID로 Dropbox 계정에 로그인할 수 있습니다.
피해 사용자에게 발송된 공지에 따르면, 무단 접근은 "Lenovo의 이메일 인증 절차의 문제"로 인해 가능했으며, 이 문제는 "무단 당사자가 사용자의 이메일 주소를 사용하여 Lenovo ID를 등록할 수 있게" 했습니다.
공격자는 이렇게 만든 허위 Lenovo ID를 이용해, 로그인 비밀번호를 몰라도 동일한 이메일 주소로 등록된 Dropbox 계정에 접근했습니다.
Dropbox의 신원 연동 프로세스는 Lenovo가 공격자가 해당 이메일 주소를 통제하고 있다고 주장하는 것을 신뢰했으며, 기존 Dropbox 로그인 방식을 통한 별도 확인을 요구하지 않았습니다.
"Lenovo ID가 없더라도, 당사 조사 결과 Lenovo의 이메일 인증 절차의 문제로 인해 무단 당사자가 귀하의 이메일 주소를 사용하여 Lenovo ID를 등록하고, 그 Lenovo ID를 이용해 해당 이메일 주소와 연결된 Dropbox 계정에 로그인한 것으로 확인되었습니다."
피해 사용자에게 발송된 Dropbox 공지
출처: @yonilevy
일부 Dropbox 사용자들은 "약 2주 전" 수상한 Dropbox 로그인에 대한 알림을 받고 즉시 비밀번호를 변경하고 2FA(이중 인증)를 활성화했다고 보고했습니다.
"당시 한 가지 이상한 점은, Lenovo ID를 생성한 적이 없음에도 불구하고 Dropbox 로그인 페이지에서 제 이메일에 대해 'SSO로 계속하기' 옵션이 나타나기 시작했다는 것입니다"라고 사용자 xaphod가 밝혔습니다.
이 클라우드 저장소 회사는 공격자가 8월 4일부터 21일 사이에 사용자의 Dropbox 계정에 접근한 것으로 확인했습니다.
BleepingComputer에 제공한 성명에서 Lenovo는 해당 문제가 Lenovo ID와 Dropbox 간의 레거시(구형) 연동과 관련이 있으며, 이를 통해 "특정 Dropbox 계정을 부적절하게 인증"하는 데 악용될 수 있었다고 밝혔습니다.
Lenovo 대변인은 BleepingComputer에 "문제를 파악한 즉시 Dropbox와 Lenovo가 협력하여 신속하게 위험을 완화했다"고 전했습니다.
사건 조사는 계속되고 있지만, 회사 측은 Lenovo 고객은 이 문제의 영향을 받지 않은 것으로 확인했습니다.
Dropbox는 Lenovo ID를 통해 인증된 모든 세션을 만료시키고, 사용자가 Lenovo ID 인증을 사용하려 할 때 Dropbox 계정 비밀번호를 추가로 입력하도록 새로운 로그인 요건을 추가하는 방식으로 대응했습니다.
Reuters에 따르면 약 5,000개의 계정이 접근 피해를 입었으며, 일부 사용자의 콘텐츠가 열람·다운로드된 것으로 알려졌습니다. BleepingComputer는 추가 정보를 위해 Dropbox에 연락했으나 기사 작성 시점까지 답변을 받지 못했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
