Dropbox के 5 हजार अकाउंट पर साइबर हमला, Lenovo ID की कमजोरी ने खोला यूजर्स की फाइलों तक पहुंच का रास्ता।

Dropbox हैक: करीब 5,000 अकाउंट हुए प्रभावित, फाइलों तक भी पहुंची अनधिकृत पहुंच…..

क्लाउड स्टोरेज प्लेटफॉर्म Dropbox से जुड़ी एक गंभीर साइबर सुरक्षा घटना सामने आई है। कंपनी के मुताबिक अगस्त 2026 में करीब 5,000 यूजर अकाउंट्स में अनधिकृत तरीके से प्रवेश किया गया। हमलावरों ने इन अकाउंट्स में मौजूद कंटेंट को देखा और कुछ मामलों में उसे डाउनलोड भी किया। हालांकि, Dropbox ने बताया कि प्रभावित अकाउंट्स में से एक-तिहाई से भी कम अकाउंट्स की फाइलों तक वास्तव में पहुंच बनाई गई थी।

यह घटना खास तौर पर इसलिए महत्वपूर्ण है क्योंकि इसमें सीधे Dropbox के मुख्य सिस्टम को तोड़ने के बजाय Lenovo ID और Dropbox के बीच मौजूद पुराने authentication integration का फायदा उठाया गया। यानी साइबर अपराधियों ने एक बाहरी लॉगिन व्यवस्था की कमजोरी का इस्तेमाल करके कुछ Dropbox अकाउंट्स तक पहुंच बनाई।

क्या हुआ था?

Dropbox के अनुसार, अनधिकृत गतिविधि 4 अगस्त से 21 अगस्त 2026 के बीच हुई। प्रभावित यूजर्स में वे अकाउंट्स खास तौर पर शामिल थे जो Lenovo ID से जुड़े थे और जिनमें Two-Factor Authentication (2FA) सक्रिय नहीं था।

साइबर सुरक्षा रिपोर्टिंग साइट BleepingComputer के मुताबिक, समस्या Lenovo की email verification प्रक्रिया से जुड़ी थी। कथित तौर पर हमलावर किसी यूजर के ईमेल पते का इस्तेमाल करके एक फर्जी Lenovo ID बना सकते थे और फिर उसी ईमेल से जुड़े Dropbox अकाउंट तक पहुंच हासिल कर सकते थे। कुछ मामलों में इसके लिए Dropbox का सामान्य पासवर्ड जानना जरूरी नहीं था।

यही इस घटना का सबसे अहम तकनीकी पहलू है:
यह पारंपरिक अर्थों में केवल “पासवर्ड चोरी” का मामला नहीं था, बल्कि Identity Federation / Third-Party Authentication में मौजूद कमजोरी का दुरुपयोग था।

Dropbox ने क्या कदम उठाए?

घटना का पता चलने के बाद Dropbox ने Lenovo ID के जरिए authenticated सभी sessions को समाप्त किया। कंपनी ने Lenovo ID और Dropbox के बीच मौजूद लिंक को भी हटा दिया और authentication प्रक्रिया में बदलाव करते हुए अब Lenovo के जरिए प्रवेश करते समय भी Dropbox password की जरूरत लागू की है।

Dropbox ने इस घटना की जानकारी Data Protection Regulators को भी दी है। Lenovo ने इसे एक “legacy integration” से जुड़ी समस्या बताया है और कहा है कि उसके अपने ग्राहकों को सीधे प्रभावित नहीं माना गया है; जांच जारी है।

असली खतरा सिर्फ 5,000 अकाउंट नहीं है

इस घटना को केवल “5,000 Dropbox अकाउंट हैक” कहकर समझना अधूरा होगा। असली चिंता Cloud Identity Security की है।

आज कंपनियां केवल username और password पर निर्भर नहीं रहतीं। वे Google, Microsoft, Apple, Lenovo जैसे अलग-अलग Identity Providers (IdP) के जरिए login सुविधा देती हैं। इसका फायदा है कि यूजर को बार-बार अलग-अलग पासवर्ड याद नहीं रखने पड़ते।

लेकिन इसका दूसरा पहलू भी है:

एक कमजोर authentication link → कई सेवाओं तक अनधिकृत पहुंच का रास्ता।

इस मामले में Dropbox के मुख्य सिस्टम की बजाय उससे जुड़ी पुरानी authentication integration संभावित entry point बनी। यह कंपनियों के लिए बड़ा सबक है कि वर्षों पुराने integrations को सिर्फ इसलिए सुरक्षित नहीं मान लेना चाहिए क्योंकि वे लंबे समय से चल रहे हैं।

2FA क्यों बेहद जरूरी है?

इस घटना में Two-Factor Authentication (2FA) की अनुपस्थिति एक महत्वपूर्ण जोखिम कारक के रूप में सामने आई है।

2FA का मतलब है कि पासवर्ड के अलावा login के लिए दूसरी पहचान भी जरूरी होगी—जैसे authenticator app का code, security key या अन्य verification method।

सरल भाषा में:

सिर्फ पासवर्ड = एक ताला
पासवर्ड + 2FA = दो स्तर की सुरक्षा

अगर किसी तीसरे पक्ष के authentication mechanism में कमजोरी आ जाए, तो मजबूत MFA/2FA अतिरिक्त सुरक्षा परत प्रदान कर सकता है।

यूजर्स को अब क्या करना चाहिए?

अगर आपका Dropbox अकाउंट किसी third-party login से जुड़ा है, तो इन कदमों को नजरअंदाज न करें:

1. Dropbox password बदलें, खासकर अगर वह पासवर्ड किसी अन्य वेबसाइट पर भी इस्तेमाल होता है।
2. Two-Factor Authentication/MFA सक्रिय करें।
3. Dropbox की active sessions और connected devices की समीक्षा करें।
4. अनजान third-party applications और integrations को हटाएं।
5. हाल की file activity और unusual downloads पर नजर रखें।
6. किसी संदिग्ध email में आए login link पर क्लिक करने के बजाय सीधे Dropbox की वेबसाइट/app खोलकर अकाउंट जांचें।
7. महत्वपूर्ण business documents के लिए least-privilege access और अलग-अलग user permissions लागू करें।

 घटना से क्या सीख मिलती है?

यह घटना दिखाती है कि आधुनिक साइबर सुरक्षा में “Password Security” अकेली पर्याप्त नहीं है।

अब सुरक्षा का सवाल केवल यह नहीं है कि “मेरा पासवर्ड कितना मजबूत है?” बल्कि यह भी है:

“मेरे अकाउंट में प्रवेश की अनुमति किन-किन कंपनियों, सेवाओं और integrations के पास है?”

इसे Attack Surface कहा जाता है।

किसी cloud account से जितने अधिक external services जुड़े होंगे, उतने अधिक संभावित authentication pathways बनेंगे। पुराना integration यदि वर्षों तक security review से बाहर रहा हो, तो वह Legacy Security Risk बन सकता है।

इसलिए कंपनियों को समय-समय पर:

• पुराने integrations का Security Audit
• Third-Party Access Review
• OAuth/SSO/Identity Provider Audit
• MFA enforcement
• Session monitoring
• Suspicious login detection
• Zero-Trust आधारित access controls

जैसे उपाय अपनाने चाहिए।

महत्वपूर्ण तथ्य एक नजर में

उपलब्ध रिपोर्टों के अनुसार, Dropbox ने प्रभावित अकाउंट्स की संख्या करीब 5,000 बताई है, जबकि फाइलों तक पहुंच इससे कम संख्या वाले अकाउंट्स में हुई। इसलिए “5,000 अकाउंट का पूरा डेटा चोरी हो गया” कहना तथ्यात्मक रूप से सही नहीं होगा।

निष्कर्ष: यह मामला cloud storage से ज्यादा digital identity और third-party authentication की सुरक्षा का अलर्ट है। आज किसी कंपनी का सबसे कमजोर दरवाजा जरूरी नहीं कि उसका अपना सिस्टम हो—कभी-कभी वह किसी पुराने, भूले हुए integration में छिपा होता है।