# Dropbox : une faille chez Lenovo a permis de pirater près de 5 000 comptes sans mot de passe

> Entre le 4 et le 21 août, des attaquants ont exploité un défaut de vérification d'e-mail chez Lenovo pour se connecter à des comptes Dropbox sans jamais en connaître le mot de passe.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/dropbox-faille-lenovo-5000-comptes-pirates
- Auteur : Kelvyn
- Publié le : 3 septembre 2026 (2026-09-03T04:22:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Fuite de données, Authentification, Dropbox, Lenovo
- Langue : français

Entre le 4 et le 21 août 2026, des pirates sont parvenus à accéder à près de 5 000 comptes Dropbox sans jamais connaître le moindre mot de passe, en exploitant une faille dans le système d'authentification partagé entre Dropbox et Lenovo. Dropbox a commencé à alerter les utilisateurs concernés le 31 août.

## Une identité vérifiée qui ne l'était pas

Dropbox permet de se connecter avec un identifiant Lenovo ID via un système d'authentification unique (SSO), sans avoir besoin d'un mot de passe Dropbox. Le problème venait du processus de vérification d'e-mail de Lenovo : il était possible de créer un identifiant Lenovo ID au nom de n'importe quelle adresse e-mail, sans jamais prouver qu'on en contrôlait réellement la boîte de réception. Une fois ce faux compte fabriqué, il suffisait de cliquer sur « Se connecter avec Lenovo » sur la page Dropbox : Lenovo transmettait alors à Dropbox un jeton indiquant que l'adresse e-mail de la victime était « vérifiée », ce qui était faux.

## Dropbox faisait confiance sans vérifier deux fois

Le second maillon faible venait de Dropbox lui-même : le service acceptait l'assertion de Lenovo sans exiger de confirmation via le mot de passe existant du compte ou un autre facteur déjà lié à celui-ci. Résultat, une session s'ouvrait sans mot de passe, sans double authentification, et sans même prévenir l'utilisateur qu'une nouvelle identité venait d'être associée à son compte. De nombreuses victimes n'avaient jamais créé de compte Lenovo de leur vie : il suffisait que leur adresse e-mail existe pour qu'elle soit exploitable. Sur les réseaux sociaux, plusieurs utilisateurs ont rapporté avoir reçu des codes de vérification Lenovo qu'ils n'avaient jamais demandés, suivis de connexions localisées près de Dublin, en Irlande — signe d'un attaquant opérant probablement via VPN.

## Des fichiers consultés dans environ un tiers des comptes touchés

Selon les informations relayées par Reuters et reprises par BleepingComputer, les attaquants ont consulté et téléchargé des fichiers dans environ un tiers des quelque 5 000 comptes compromis. Ce chiffre nuance le message initial de Dropbox, qui insistait sur l'absence d'indication que des fichiers auraient été consultés : une partie non négligeable des victimes a bel et bien vu ses documents exposés, pas seulement son compte visité.

## Ce qui a été corrigé, et ce que les utilisateurs doivent faire

Lenovo a reconnu, dans une déclaration à BleepingComputer, qu'il s'agissait d'un problème lié à une intégration héritée entre Lenovo ID et Dropbox. Dropbox a depuis révoqué toutes les sessions ouvertes via Lenovo et coupé le lien automatique entre les deux services.

> ne peut désormais accéder à votre compte Dropbox via un identifiant Lenovo sans avoir préalablement saisi votre mot de passe Dropbox

C'est ainsi que Dropbox résume, dans son communiqué relayé par 01net, le correctif appliqué : un mot de passe Dropbox est désormais obligatoire avant qu'un identifiant Lenovo puisse être associé à un compte. L'entreprise recommande aux utilisateurs concernés de changer leur mot de passe Dropbox, celui de leur messagerie associée, et d'activer l'authentification à deux facteurs — une mesure qui, selon elle, aurait empêché l'exfiltration de fichiers sur les comptes compromis.

## À retenir

- Entre le 4 et le 21 août 2026, des pirates ont accédé à près de 5 000 comptes Dropbox en exploitant une faille du processus de vérification d'e-mail de Lenovo, sans jamais connaître le moindre mot de passe.
- Environ un tiers des comptes compromis ont vu leurs fichiers consultés ou téléchargés par les attaquants, selon Reuters.
- La faille combinait deux maillons faibles : une vérification d'e-mail défaillante chez Lenovo, et une confiance excessive de Dropbox dans cette vérification, sans confirmation supplémentaire.
- Dropbox a coupé le lien automatique avec Lenovo et recommande d'activer l'authentification à deux facteurs, qui aurait empêché l'exfiltration de fichiers.

## Source

[01net : « Cyberattaque contre Dropbox : une faille de sécurité a permis de pirater certains comptes »](https://www.01net.com/actualites/cyberattaque-contre-dropbox-une-faille-de-securite-a-permis-de-pirater-certains-comptes.html)

[BleepingComputer : « Dropbox accounts breached through Lenovo email verification flaw »](https://www.bleepingcomputer.com/news/security/dropbox-accounts-breached-through-lenovo-email-verification-flaw/)

[Numerama : « Comment des milliers de comptes Dropbox ont sauté à cause d'une vieille passerelle Lenovo »](https://www.numerama.com/cyberguerre/2323777-comment-une-vieille-passerelle-lenovo-a-ouvert-des-milliers-de-comptes-dropbox-aux-pirates.html)

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/dropbox-faille-lenovo-5000-comptes-pirates