Telset.id – Sekitar 5.000 akun Dropbox pengguna berhasil dibobol peretas setelah mereka mengeksploitasi kerentanan pada proses verifikasi Lenovo ID. Celah ini memungkinkan pihak tak berwenang mendaftarkan Lenovo ID menggunakan alamat email korban, yang kemudian dipakai untuk masuk ke akun Dropbox yang terkait dengan email tersebut.
Serangan ini berlangsung antara 4 hingga 21 Agustus. Dropbox telah mengirimkan notifikasi kepada individu yang terdampak pada awal pekan ini. Yang memprihatinkan, sebagian besar akun yang diakses tidak mengaktifkan autentikasi dua faktor (2FA). Bahkan, pada sekitar sepertiga akun yang diretas, terdapat bukti dokumen tersimpan telah dilihat atau diunduh.
Insiden ini bermula dari kemitraan Dropbox dengan Lenovo sebagai penyedia identitas (identity provider). Kemitraan ini memungkinkan pengguna masuk ke akun Dropbox menggunakan Lenovo ID yang telah terverifikasi. Namun, kelemahan dalam proses verifikasi email Lenovo menjadi pintu masuk bagi para peretas.
Dalam email notifikasi pelanggaran data, Dropbox menjelaskan bahwa meskipun pengguna mungkin tidak memiliki Lenovo ID, investigasi menemukan adanya masalah pada proses verifikasi email Lenovo. Masalah ini memungkinkan pihak tidak berwenang untuk mendaftarkan Lenovo ID menggunakan alamat email korban dan kemudian menggunakannya untuk masuk ke akun Dropbox.
Perbaikan Celah dan Langkah Pengamanan
Dengan hanya bermodalkan alamat email, para pelaku kejahatan dapat membuat Lenovo ID dan langsung mengakses akun Dropbox korban. Kabar baiknya, kerentanan ini telah diatasi dan langkah-langkah tambahan telah diambil untuk melindungi privasi pengguna Dropbox.
Dropbox menyatakan telah “segera mengakhiri semua sesi yang masuk melalui Lenovo ID” dan menghentikan semua tautan antara akun Lenovo dan Dropbox. Saat ini, perusahaan mewajibkan pengguna untuk memasukkan kata sandi saat masuk melalui Lenovo ID. “Tidak ada yang dapat mengakses akun Dropbox Anda melalui Lenovo ID tanpa terlebih dahulu memasukkan kata sandi Dropbox Anda,” demikian pernyataan perusahaan.
Meski demikian, Dropbox tetap mengimbau pengguna untuk mengubah kata sandi, mengaktifkan verifikasi dua langkah, dan mengganti kata sandi untuk akun email mereka. Langkah-langkah ini penting untuk memastikan keamanan akun secara menyeluruh.
Muhammad Yahya Patel, vCISO dan penasihat keamanan siber untuk EMEA di Huntress, menyoroti bahwa “setiap akun yang dikompromikan tidak memiliki autentikasi multi-faktor. Di tahun 2026, untuk akun penyimpanan cloud yang menyimpan data, ini adalah celah yang tidak bisa dipertahankan dan celah yang bisa ditutup sendiri oleh pengguna terlepas dari apa yang Lenovo atau Dropbox lakukan atau tidak lakukan dengan integrasi lama mereka.”
Patel menambahkan bahwa “kombinasi jalur autentikasi pihak ketiga yang tidak ditinjau dan akun tanpa MFA pada dasarnya adalah undangan terbuka.” Ia menekankan bahwa pelajaran praktis dari insiden ini berlaku luas, tidak hanya untuk kasus spesifik ini. Setiap organisasi dan individu harus secara berkala mengaudit layanan pihak ketiga mana saja yang memiliki akses autentikasi ke akun mereka.
“OAuth grants, koneksi SSO, dan integrasi login pihak ketiga terakumulasi secara diam-diam dan jarang dihapus ketika hubungan yang menciptakannya berakhir,” jelas Patel. Pernyataan ini menggarisbawahi pentingnya manajemen akses yang proaktif di era di mana integrasi layanan digital semakin kompleks.
Baca Juga:
Insiden ini menjadi pengingat akan risiko keamanan siber yang melekat pada integrasi layanan pihak ketiga. Ketergantungan pada satu penyedia identitas dapat menjadi titik lemah jika proses verifikasinya tidak diuji secara menyeluruh. Bagi pengguna, kejadian ini menegaskan pentingnya langkah pengamanan mandiri seperti mengaktifkan autentikasi dua faktor.
Kerentanan seperti ini sering kali tidak terlihat hingga dieksploitasi. Audit berkala terhadap layanan yang terhubung ke akun utama menjadi praktik yang disarankan. Hal ini sejalan dengan saran Patel agar setiap pengguna secara berkala memeriksa dan membersihkan akses pihak ketiga yang tidak lagi diperlukan.
Bagi korban yang akunnya terdampak, Dropbox telah mengambil langkah untuk mengamankan akun mereka. Namun, pengguna juga perlu proaktif dengan mengganti kata sandi dan memastikan keamanan email terkait, karena email sering menjadi kunci pemulihan untuk berbagai layanan online lainnya.
Ke depannya, baik penyedia layanan maupun pengguna harus lebih waspada. Penyedia layanan perlu memastikan bahwa setiap jalur autentikasi, termasuk yang berasal dari mitra, memiliki keamanan yang setara. Sementara itu, pengguna disarankan untuk tidak mengabaikan fitur keamanan tambahan yang tersedia, seperti verifikasi dua langkah.
Insiden peretasan akun Dropbox ini menunjukkan bahwa rantai keamanan hanya sekuat mata rantai terlemahnya. Dalam kasus ini, proses verifikasi email Lenovo menjadi mata rantai yang dieksploitasi. Dengan meningkatnya kompleksitas ekosistem digital, kewaspadaan dan praktik keamanan yang baik menjadi semakin krusial.
Peristiwa ini juga menekankan bahwa data di cloud storage tetap menjadi target utama peretas. Meskipun Dropbox telah memperbaiki kerentanan dan mengambil langkah pengamanan, pengguna harus tetap waspada terhadap potensi ancaman lainnya. Mengaktifkan autentikasi multi-faktor adalah salah satu cara paling efektif untuk melindungi akun dari akses tidak sah.
Kejadian yang menimpa sekitar 5.000 akun Dropbox ini menjadi studi kasus tentang bagaimana kepercayaan yang didelegasikan (delegated trust) antar layanan dapat menjadi celah keamanan. Ketika sebuah layanan mengandalkan pihak ketiga untuk verifikasi identitas, maka keamanan akun pengguna juga bergantung pada keamanan pihak ketiga tersebut.
Bagi pengguna layanan cloud storage, insiden ini menjadi pengingat untuk tidak hanya mengandalkan keamanan yang disediakan oleh penyedia layanan. Langkah-langkah proaktif seperti menggunakan kata sandi yang kuat dan unik, mengaktifkan autentikasi dua faktor, serta secara rutin memeriksa perangkat dan aplikasi yang terhubung ke akun sangat disarankan.
Dengan semakin maraknya serangan siber yang menargetkan akun pengguna, kesadaran akan pentingnya keamanan digital menjadi hal yang tidak bisa ditawar. Insiden ini menunjukkan bahwa bahkan layanan besar seperti Dropbox dan Lenovo pun tidak kebal terhadap kerentanan, dan pengguna harus selalu siap untuk mengambil langkah pengamanan tambahan.
Komentar
Belum ada komentar.