Dropbox victime d’un piratage à grande ampleur : Les mots de passe et clé AP de plusieurs clients compromis !

Dropbox, géant site d'hébergement de fichiers en ligne a été victime d'une cyberattaque qui s'est soldée par la perte de plusieurs données personnelles de certains des clients. En effet, un pirate a réussi à intégrer leur système en prenant possession de plusieurs données de clients. 

Le 24 avril dernier, Dropbox a constaté un accès fantôme complètement illégal dans l’un de ses systèmes. La société a expliqué dans une note que « cet incident a uniquement impacté les clients de Dropbox Sign, et non pas ceux des autres solutions Dropbox, pour lesquelles il n’y a pas de risque sur la sécurité de leurs données ».

Il s’agit en effet de la plateforme de signature électronique Sign de Dropbox qui a été victime de ce piratage. Les cybercriminels ont eu accès à des tokens, des clés MFA, des mots de passe hachés et des informations sur les clients. La plateforme de signature électronique Sign de Dropbox a été créée à la suite de l'acquisition de la start-up Hellosign en 2019 pour 230 M$. Elle propose une solution de signature électronique aux clients de l'expert en stockage cloud et gestion de documents. Selon l'enquête de l'éditeur, les cybercriminels ont pu utiliser un outil de configuration automatisée du système de Sign.

Des données personnelles de certains clients volés 

Les données confidentielles concernant les utilisateurs sont stockées dans cette base de données, telles que le nom d'utilisateur, l'adresse e-mail, le numéro de téléphone et le mot de passe du compte. Il n'est pas possible d'accéder directement au précieux sésame en clair, car une fonction de hachage cryptographique est employée avant de la stocker.

Ensuite, les cybercriminels ont également eu la possibilité de consulter les paramètres du compte, les informations concernant l'authentification multifacteurs, les clés d'API et les jetons oAuth. De précieuses informations pour établir des liens avec d'autres applications et services.

Dropbox rassure ses clients 

Après cette attaque, la société a tenu à rassurer ses nombreux clients, en réinitialisant d’abord, les mots de passe des utilisateurs et en déconnectant les utilisateurs de tous les appareils liés à Dropbox Sign. Ensuite, Dropbox a fait une mise à jour de toutes les clés API et tous les jetons OAuth.  Cette stratégie va leur permettre de contrer toutes les attaques des cybercriminels et d’avoir accès aux informations personnelles de ses nombreux clients.

Selon la firme, les cybercriminels n'ont pas réellement pu accéder aux informations personnelles des clients, par contre les personnes concernées par cette attaque ont été informées pour de nouvelles mesures de sécurité. 

Pour rappel, Dropbox a des utilisateurs partout dans le monde, notamment en Afrique, ce qui veut dire que cette attaque concerne aussi ses utilisateurs africains. 

Boa Jules