Firma Dropbox Inc. poinformowała o fakcie odnotowania „incydentu z zakresu cyberbezpieczeństwa”. Włamania, innymi słowy. Hakerzy, którzy dokonali tegoż włamania, mieli uzyskać dostęp do wrażliwych danych osobistych użytkowników.
Dropbox kojarzy się przede wszystkim z usługami przesyłania i udostępniania plików i treści w chmurze. Oferuje jednak także i inne produkty, w tym te przeznaczone do zarządzania dokumentacją czy treściami audiowizualnymi. Jednym z nich jest Dropbox Sign, narzędzie do aplikowania podpisu elektronicznego.
Dropbox pod lupą
I właśnie ów Sign miał w szczególności stać się celem łakomych spojrzeń i złośliwego oprogramowania hakerów. W wyniku włamania skompromitowane zostały dane użytkowników tej usługi, takie jak nazwy użytkowników, ich adresy emailowe oraz konfiguracje kont.
Co więcej, „podzbiór użytkowników” Dropboxa mógł być także narażony na wyciek jeszcze wrażliwych informacji. Hakerzy uzyskać mieli dostęp do ich numerów telefonów, zaszyfrowanych haseł oraz danych uwierzytelniania, takich jak klucze API czy tokeny OAuth.
Bezpieczne pozostały natomiast jakoby informacje dotyczące płatności oraz sama bezpośrednia kontrola nad kontami użytkowników. Firma ma 18 milionów użytkowników płatnych usług – nie poinformowano, ilu z nich mogło dotknąć włamanie.
Nic się nie stało…?
Dropbox wykryć miał naruszenie bezpieczeństwa 24 kwietnia. Jak twierdzi, firma poinformowała od razu stosowne służby oraz organy regulacyjne. Publicznie poinformowano jednak o tym teraz – jak się można domyślać, po to, aby nie komplikować walki z włamaniem, względnie policyjnego śledztwa.
Podejście takie nie stanowi novum w podobnych przypadkach, choć wielu zainteresowanych liczyłoby pewnie na szybsze poinformowanie o sprawie.
W oficjalnym wniosku firma poinformowała, że włamanie nie będzie mieć wielkiego wpływu na jej wyniki finansowe (użytkownicy, których dane wypłynęły, mogą prezentować tutaj daleko mniejszy entuzjazm, za to większą zgryźliwość). Na wieść o ataku kurs akcji firmy stracił 2,5% wartości.