A CNet információi szerint nagyjából hétmillió Dropbox jelszó került hackerek kezeibe, természetesen a hozzájuk tartozó felhasználónevekkel együtt, így feltétlenül érdemes lehet jelszót változtatni, ha biztonságban akarjuk tudni magunkat, sőt, a kétlépcsős felhasználó-azonosítást is érdemes bekapcsolni – a Dropbox ugyanis sok más szolgáltatáshoz hasonlóan kínál ilyen funkciót is.
Az előzmények
Október 13-án egy érdekes bejegyzés jelent meg a Pastebin virtuális hasábjain, ami 400 e-mail címet és jelszót tartalmazott – az összes kiszivárogtatott e-mail cím "b" betűvel kezdődött. Később kiderült, hogy ez csak egy ízelítő volt annak érdekében, hogy komolyan vegyék a hackereket, akik némi Bitcoin-ért cserébe további adatokat is hajlandóak kiszivárogtatni. A pletykák szerint a kiszivárogtatott bejelentkezési adatok közül több is működött, ugyanis segítségükkel sikerült bejelentkezniük a vállalkozó szellemű felhasználóknak a bejelentkezési adatokhoz tartozó Dropbox fiókokba.
Az nem derült ki, hogy a hackerek honnan szerezték meg a bejelentkezési adatokat, azt viszont elárulták, hogy 6 937 081 különböző felhasználói fiók bejelentkezési adatait "ejtették túszul".
A Dropbox illetékesei reagálnak
A hivatalos közlemény szerint a Dropbox szervereit nem törték fel, azaz a kiszivárgott bejelentkezési adatokat más szolgáltatáson keresztül szerezték be a hackerek. A szóban forgó bejelentkezési adatok a Dropbox szakemberei szerint egyébként sem voltak használhatóak, hiszen a hozzájuk tartozó jelszavak már lejártak. A Dropbox korábban egyébként már érzékelte a támadás-kísérleteket.
Érdekesség, hogy a The Next Web szerint a Dropbox ennek ellenére a kiszivárgott bejelentkezési adatok esetében kezdeményezte az adott jelszavak megváltoztatását. Mivel az ügyben egyelőre igencsak nagy a homály, így mindenképpen ajánlott lehet jelszavat változtatniuk mindazoknak, akik az adott bejelentkezési adatokat több szolgáltatáshoz is használják. Ezzel együtt érdemes arról is gondoskodni, hogy ne egyetlen jelszóval védjünk több tucatnyi felhasználói fiókot, ugyanis akkor, ha az egyik szolgáltatást feltörik, a megszerzett jelszóval az összes többi szolgáltatáshoz tartozó felhasználói fiókjainkhoz is hozzáférhetnek a támadók. Ez pedig beláthatatlan következményekkel járhat.
A Dropbox illetékesei egy újabb közleményben azt állítják, hogy a támadók nem a Dropbox szervereiről, hanem egyéb helyekről szerezték be a bejelentkezési adatokat, amelyekkel aztán különböző szolgáltatásokba próbáltak belépni – köztük a Dropboxba is. A Dropbox fejlett algoritmusokkal szűri ki a gyanús bejelentkezéseket – amennyiben ilyet észlelnek, azonnal kezdeményezik a jelszóváltoztatás folyamatát. Más kérdés, hogy ha az e-mail szolgáltatáshoz is ugyanazok a bejelentkezési adatok tartoznak, akkor elméletben a támadó saját maga is el tudja végezni a jelszóváltoztatást, amivel nagyon kellemetlen helyzetet teremthet.
A fentiekből a tanulság az, hogy nem érdemes több szolgáltatáshoz is ugyanazokat a felhasználói adatokat használni, plusz érdemes a kétlépcsős felhasználó-azonosítást is engedélyezni minden olyan szolgáltatásnál, ahol erre van mód.
A Dropboxra a jelek szerint egyébként rájár a rúd, ugyanis a napokban derült ki, hogy az asztali kliensalkalmazás hibája miatt egyes felhasználók fájljai törlődtek, igaz, a probléma csak kevés felhasználót érintett, de a végeredmény akkor is nagyon kellemetlen.
