Sekitar 5.000 akun Dropbox terbuka tanpa izin selama rentang 4 hingga 21 Agustus 2026. Penyerang menyusup bukan dengan menebak password, melainkan memanipulasi celah pada sistem autentikasi pihak ketiga milik Lenovo ID.
Akar insiden bermula dari sistem Lenovo yang tidak memverifikasi alamat email saat pengguna mendaftarkan akun baru. Pelaku memanfaatkan lubang keamanan itu dengan membuat akun Lenovo ID baru menggunakan email korban. Setelah pendaftaran selesai, penyerang tinggal memakai opsi masuk cepat atau Single Sign-On (SSO) untuk mengakses ruang penyimpanan Dropbox. Taktik ini membuat peretas sama sekali tidak butuh password Dropbox, bahkan tidak perlu membuka kotak masuk email korban untuk mengonfirmasi pendaftaran.
Yoni Levy, seorang developer, membagikan kejanggalan yang menimpa akunnya. Ia merasa tidak pernah mendaftar layanan Lenovo dan belum pernah pergi ke Inggris. Namun, sistem keamanannya mencatat ada aktivitas login yang masuk dari lokasi “Near Canary Wharf, England” pada 18 Agustus pukul 06.06 pagi.
Syarat Akun yang Terdampak Celah
Manajemen Dropbox telah merilis pemberitahuan resmi kepada ribuan pengguna yang menjadi target. Dari total 5.000 akun yang diretas, perusahaan mencatat kurang dari sepertiga korban yang mendapati file pribadinya dilihat atau diunduh oleh pelaku. Pihak Dropbox merinci bahwa celah SSO Lenovo ID hanya berhasil menembus akun dengan dua kondisi: terhubung ke Lenovo ID dan pemilik belum mengaktifkan lapisan pelindung autentikasi dua faktor (2FA) di pengaturan.
Kenapa Mengincar Akun Terintegrasi?
Pada hari yang sama saat insiden Dropbox mencuat, gelombang email permintaan reset password yang tidak diminta juga menghantam pengguna platform X. Pihak X langsung merespons dengan memastikan tidak ada bukti pelanggaran pada sistem internal mereka. Menurut dugaan seorang insinyur X, rentetan percobaan login paksa dirancang penyerang demi mengambil kendali akun untuk mengakses layanan keuangan X Money.
📌 Baca JugaMalware Windows Menyamar Jadi Claude Gratis - Kuras 50 Dompet Kripto dan Hapus Jejak Sendiri
Perluasan operasi X Money baru saja merambah pelanggan Premium dan Premium+ di kawasan Amerika Serikat. Penawaran terbarunya mencakup instrumen yield hingga 6% serta fasilitas cashback kartu sebesar 3%. Angka imbal hasil itu menjadi sasaran utama peretas yang mencari celah pencurian aset digital.
Insiden beruntun pada Dropbox dan X membuktikan kelonggaran verifikasi pihak ketiga bisa memberi akses silang ke platform lain. Bagi pengguna layanan keuangan, menyalakan autentikasi dua faktor adalah kewajiban mutlak sebelum ada orang tak dikenal yang mengubah akses Anda pagi-pagi buta. Dilansir dari Decrypt.
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
