#安全资讯 联想 ID 是什么鬼？导致大量 Dropbox 用户账号出现未经授权访问。简单来说 Dropbox 与联想有合作，联想用户可以通过联想 ID 直接登录 Dropbox。问题是联想 ID 注册流程有问题，用户甚至不需要验证邮箱就可以成功注册并登录 Dropbox。于是黑客只需要知道 Dropbox 用户邮箱就可以注册联想 ID 并登录对应账号。查看全文：https://ourl.co/126594
近期多名 Dropbox 网盘用户收到安全通知，称其账户在 2026 年 8 月 4 日～21 日期间遭到未经授权的访问。此次安全问题并非 Dropbox 基础设施被黑客攻击，具体原因竟然是联想 ID 注册和 Dropbox SSO 登录存在信任漏洞。
根据目前披露的攻击链，联想 ID 注册流程存在邮箱验证缺陷，攻击者可以利用受害者邮箱创建联想账号，而且都不需要发送邮件验证码验证邮箱是否真的是注册者所有。
问题随后被 Dropbox SSO 登录机制放大，Dropbox 会根据联想提供的邮箱身份匹配现有账号，因此攻击者使用伪造的联想 ID 登录后，可以直接获得对应 Dropbox 账号的完整控制权，不需要账号密码和其他验证。
更严重的是受害者此前甚至都不需要注册联想 ID 或绑定 Dropbox 账号，Dropbox 与联想长期存在云存储合作，联想用户可以通过相关服务购买和使用 Dropbox。
Dropbox 在调查后已经注销所有通过联想 ID 建立的会话，同时解除受影响账号与联想 ID 的关联，如果用户希望继续通过联想 ID 访问，现在需要输入 Dropbox 账号密码进行验证，不能再直接登录。
审计发现在攻击窗口内部分账户被黑客访问，但 Dropbox 称目前日志没有发现用户文件被查看或下载的证据。另外联想到现在还未在安全公告中披露该事件。
