Dropbox a échoué en matière de sécurité, laissant fuir des informations de clients et de tiers.

Dropbox a révélé une importante attaque sur ses systèmes qui a vu des informations personnelles de clients être accédées par des entités inconnues et non autorisées. L’attaque, détaillée dans un dépôt réglementaire, a affecté Dropbox Sign – un service qu’elle présente comme une « solution de signature électronique [qui] vous permet d’envoyer, de signer et de stocker des documents importants dans un flux de travail fluide, sans jamais quitter Dropbox. » Fondamentalement, il s’agit d’un clone de DocuSign. Le dépôt indique que la direction a pris connaissance de l’incident la semaine dernière – le 24 avril – et a « immédiatement activé notre processus de réponse aux incidents de cybersécurité pour enquêter, contenir et remédier à l’incident. » Cet effort a permis de découvrir que « l’acteur de la menace avait accédé aux données liées à tous les utilisateurs de Dropbox Sign, telles que les adresses e-mail et les noms d’utilisateur, en plus des paramètres de compte généraux ». La situation s’aggrave : « Pour des sous-ensembles d’utilisateurs, l’acteur de la menace a également accédé aux numéros de téléphone, aux mots de passe hachés et à certaines informations d’authentification telles que les clés API, les jetons OAuth et l’authentification multi-facteurs », indique le dépôt.