Dropbox、約5,000アカウントが不正アクセスの被害　Lenovo ID連携を経由、一部でファイル閲覧・ダウンロード

米Dropboxは2026年9月1日、8月に発生した不正アクセスで約5,000件のDropboxアカウントが侵害されたことを明らかにしました。

DropboxがReutersやBloomberg Newsなどに説明した内容によると、不正アクセスは8月4日から21日にかけて発生しました。影響を受けたアカウントはいずれもLenovo IDとの認証連携に関連し、Dropboxの2要素認証が有効になっていなかったとしています。

約5,000件の侵害アカウントのうち、ファイルへのアクセスが確認されたのは3分の1未満です。Dropboxから影響利用者へ送られた通知には、保存ファイルが閲覧・ダウンロードされたと案内されたケースと、ファイル閲覧・ダウンロードの証拠は確認されていないと案内されたケースがありました。

Dropboxは、Lenovo ID経由で認証されていた全セッションを失効させ、Lenovo IDとDropboxアカウントの既存の関連付けを解除しました。また、Lenovo経由でDropboxへアクセスする場合にも、Dropboxのパスワード入力を求めるよう認証方式を変更しています。

Lenovoは、Lenovo IDとDropboxの間に「legacy integration（旧来の連携）」が存在し、一部のDropboxアカウントを不適切に認証するために利用できる状態だったと説明しています。Lenovoは自社顧客への影響はないとしており、調査を継続しています。

Dropbox不正アクセスのサマリー

• Dropboxは2026年9月1日、約5,000件のDropboxアカウントが不正アクセスを受けたことを明らかにしました。
• 不正アクセスは2026年8月4日から21日にかけて発生しました。
• 影響を受けたのはLenovo IDとの認証連携に関連するDropboxアカウントです。
• Dropboxによると、侵害されたアカウントではDropboxの2要素認証が有効になっていませんでした。
• 約5,000件のうち、ファイルへのアクセスが確認されたのは3分の1未満です。
• 一部利用者には、保存ファイルが閲覧・ダウンロードされたとDropboxから通知されています。
• 一方、別の影響利用者にはファイル閲覧・ダウンロードの証拠は確認されなかったと通知されています。
• DropboxはLenovo ID経由で認証された全セッションを失効させました。
• DropboxはLenovo IDとDropboxアカウントの既存の関連付けを解除しました。
• 現在はLenovo経由でDropboxへアクセスする場合にもDropboxパスワードの入力が必要になるよう変更されています。
• Dropboxは影響利用者とデータ保護規制当局へ通知したとしています。
• Lenovoは、Lenovo IDとDropbox間の「旧来の連携」が一部Dropboxアカウントの不適切な認証に利用できる状態だったと説明しています。
• Lenovoは自社顧客への影響はないとしており、調査を継続しています。
• Dropboxのシステム全体が侵害されたとの発表ではありません。
• Dropboxは今回の事案が事業へ重大な影響を与えるとは見込んでいないとBloomberg Newsに説明しています。

項目	内容
公表	2026年9月1日
不正アクセス期間	2026年8月4日～21日
対象	Dropboxアカウント約5,000件
侵入経路	Lenovo IDとDropboxの認証連携
Dropbox 2要素認証	影響アカウントでは無効
ファイルアクセス	侵害アカウントの3分の1未満
ファイル閲覧・ダウンロード	一部アカウントで確認
Dropbox基盤全体の侵害	確認されていません
対応	Lenovo IDセッション失効、アカウント連携解除、Dropboxパスワード入力を必須化
規制当局	Dropboxがデータ保護規制当局へ報告
Lenovo側の説明	旧来の認証連携が不適切なDropbox認証に利用可能だった
Lenovo顧客への影響	Lenovoは影響なしと説明
調査	継続中

8月4日から21日に約5,000アカウントへ不正アクセス

Dropboxは9月1日、約5,000件のDropboxアカウントが8月に不正アクセスを受けたことを明らかにしました。

Dropboxから一部利用者へ送られた通知によると、不正アクセスが確認された期間は8月4日から21日です。

Dropbox広報担当者はBloomberg Newsに対し、約5,000件のアカウントが侵害され、そのうちファイルへのアクセスが確認されたのは3分の1未満だったと説明しています。

ここで重要なのは、「約5,000件すべてで保存データが閲覧・取得された」という意味ではない点です。

Dropboxが影響利用者へ送付した通知には、ファイルが閲覧・ダウンロードされたとするものと、ログ上はファイル閲覧・ダウンロードの証拠が確認されなかったとするものがありました。

したがって、

• アカウントへの不正アクセス：約5,000件
• ファイルへのアクセス：その3分の1未満
• 全約5,000件からファイルが流出：確認されていない

と分けて扱う必要があります。

Lenovo IDとの認証連携を経由してDropboxへログイン

今回の侵入経路として確認されているのは、Lenovo IDとDropboxを結ぶ認証連携です。

DropboxはReutersに対し、Lenovo IDに関連付けられ、Dropboxの2要素認証が有効になっていなかったアカウントで不正アクセスを確認したと説明しています。

さらにDropboxが複数メディアへ説明した内容では、Lenovo側のメールアドレス確認プロセスに問題があり、第三者が他人のメールアドレスを使ってLenovo IDを登録し、そのLenovo IDを使って同じメールアドレスに関連付くDropboxアカウントへアクセスできる状態だったとされています。

このため、今回の事案は「Dropboxのパスワード約5,000件が窃取された」と確認されたものではありません。

第三者のIDプロバイダーとの認証連携を経由して、Dropboxアカウントへ不正ログインできた事案として整理する必要があります。

Lenovoは「旧来の連携」に問題があったと説明

LenovoはReutersなどへの声明で、Lenovo IDとDropboxの間に存在していた「legacy integration（旧来の連携）」を確認したと説明しています。

この連携は、一部のDropboxアカウントを不適切に認証するために利用できる状態だったとしています。

LenovoとDropboxは共同でリスクを軽減する措置を実施しました。

Lenovoは自社顧客への影響はないと説明していますが、現時点で詳細な技術調査結果や、認証連携がいつからこの状態だったのかについては公表していません。

攻撃者や攻撃グループについても公表されていません。

Dropbox公式にもLenovoとのサービス連携が記載

Dropboxの公式ヘルプには、以前から「Lenovo | Dropbox Cloud Storage」というLenovo顧客向けサービスが掲載されています。

Lenovo顧客はLenovo経由でDropboxのストレージプランを購入でき、Lenovo IDを利用する仕組みも用意されていました。

公式ヘルプでは、Lenovo IDを使ってDropboxのチームアカウントへ参加したり、チーム向けトライアルへアクセスしたりすることはできないとも説明されています。

ただし、この仕様だけから、今回侵害された約5,000件がすべて個人向けDropboxアカウントだったと断定することはできません。

今回の影響対象の詳細な契約プランや地域別内訳は公表されていません。

Dropboxの2要素認証が有効なアカウントは対象外と説明

Dropboxによると、今回不正アクセスを受けたのはDropboxの2要素認証を有効にしていなかったアカウントです。

Dropboxは公式ヘルプでも、2要素認証をすべての利用者が利用できる推奨セキュリティ機能として案内しています。

2要素認証を有効にすると、パスワードなどの認証情報だけではログインできず、認証アプリやSMS等による追加確認が必要になります。

今回の事案は第三者認証連携を起点としており、一般的なパスワード窃取とは異なりますが、Dropboxの説明では2要素認証が有効なアカウントは今回の影響対象に含まれていません。

企業や利用者は、Dropboxだけでなく、Google、Microsoft、Appleなど外部IDプロバイダーを使ったログイン経路を含めて、多要素認証がどこで強制される構成なのか確認する必要があります。

DropboxはLenovo ID経由の全セッションを失効

Dropboxは問題を確認後、Lenovo IDを通じて認証されていたすべてのセッションを終了させました。

さらに、

• Lenovo IDとDropboxアカウントの既存の関連付けを解除
• Lenovo経由でDropboxへアクセスする場合にDropboxパスワード入力を要求
• 影響を受けた利用者への通知
• データ保護規制当局への報告

を実施しています。

Dropboxの公式ヘルプでは、利用者自身もアカウントのセキュリティ設定からログイン済みブラウザや接続デバイスを確認し、不審なセッションやデバイスをリモートでログアウトできると案内しています。

今回Dropboxが一括してLenovo IDセッションを失効させた対応は、認証経路そのものに問題があったため、既存セッションを残さないための措置とみられます。

ファイル閲覧・ダウンロードが確認されたアカウントも

今回の事案では、アカウントへの不正ログインだけでなく、一部で保存データへのアクセスまで確認されています。

Bloomberg Newsが確認したDropboxの通知によると、一部の利用者には、攻撃者がファイルを閲覧・ダウンロードしたと案内されています。

Dropboxは約5,000件の侵害アカウントのうち、ファイルへのアクセスがあったのは3分の1未満としています。

ファイルの種類、件数、容量、個人情報や企業秘密が含まれていたかについては、全体として公表されていません。

そのため、「約5,000人分の個人情報が漏えいした」「5,000アカウントの全ファイルが流出した」といった表現はできません。

確認されているのは、一部アカウントでDropbox上のコンテンツが実際に閲覧・ダウンロードされたことです。

影響ユーザーとデータ保護規制当局へ通知

Dropboxは、影響を受けたユーザーへの通知を開始し、データ保護規制当局にも本件を報告したとしています。

どの国・地域の規制当局へ報告したのかはReutersの記事では明らかにされていません。

Dropboxの公式情報では、米国・カナダ・メキシコのユーザーには米国法人Dropbox, Inc.がサービスを提供し、それ以外の地域ではアイルランド法人Dropbox International Unlimited Companyがサービス提供主体となっています。

ただし、今回影響を受けた約5,000アカウントの地域別内訳は公表されていません。

日本の利用者が含まれているかについても、現時点で確認できる公式情報はありません。

Dropbox本体のクラウド基盤侵害とは区別が必要

今回の事案は、Dropboxのクラウドストレージ基盤そのものへ攻撃者が侵入し、約5,000アカウントのデータベースを直接取得したと確認された事件ではありません。

確認されているのは、Lenovo IDとの認証連携を利用して個別のDropboxアカウントへ不正アクセスされた事象です。

この違いは、企業のインシデント対応でも重要です。

SaaS側の基盤が侵害されていなくても、

• 外部IDプロバイダー
• SSO
• OAuth連携
• ソーシャルログイン
• 既存セッション
• メールアドレスをキーにしたアカウント紐付け

などの認証経路に問題があれば、正規のログイン処理を通じてアカウントが乗っ取られる可能性があります。

「パスワードが漏れていないから安全」とは限らない

今回のインシデントから確認できる重要な点は、SaaSアカウント侵害にパスワード窃取が必ずしも必要ではないことです。

外部のIDプロバイダーが認証したユーザーをSaaS側が信頼する構成では、IDプロバイダー側の本人確認やアカウント紐付けに問題があると、その信頼関係を経由して別サービスへ影響が及ぶ可能性があります。

企業でSaaSを利用する際は、パスワードポリシーだけでなく、

• どのIDプロバイダーからログインできるか
• ID連携に使う属性は何か
• メールアドレスだけで既存アカウントへ紐付けられないか
• MFAが外部認証時にも確実に適用されるか
• 不要になった外部ID連携が残っていないか
• IdP経由のセッションを一括失効できるか

を確認する必要があります。

情報システム部門への示唆

Dropboxを業務利用している企業では、まず今回の影響通知が届いていないかを確認する必要があります。

Dropboxから通知を受けた場合は、通知内容に「ファイル閲覧・ダウンロードが確認された」と記載されているか、「証拠は確認されていない」と記載されているかで初動が変わります。

ファイルアクセスが確認された場合は、単なるアカウント復旧にとどめず、

• 対象アカウントに保存されていたファイルの棚卸し
• 個人情報・顧客情報・機密情報の有無
• 共有リンクや共有フォルダへの影響
• 認証情報やAPIキーなど秘密情報がファイル内に含まれていなかったか
• 不審な共有設定変更
• ファイル削除・改変の有無
• アカウントからの不審な操作

を確認する必要があります。

通知が届いていない組織でも、Dropboxの2要素認証が任意になっている場合は、チーム管理者による強制を検討すべきです。

Dropbox公式では、チーム管理者が2要素認証を必須化できる機能を提供しています。

また、今回の事案はDropbox単体の設定だけを見るのでは不十分であることも示しています。

企業ではSaaS資産台帳に「利用サービス名」だけでなく、「ログイン可能なIdP」「SSO方式」「MFAの適用点」「外部認証連携」を含めて管理すると、類似インシデント発生時の影響確認が容易になります。

特に、過去にキャンペーンや端末購入特典などで追加された認証連携は、利用者や管理者が存在を把握していないまま長期間残る可能性があります。

今回Lenovoが「旧来の連携」と表現している点からも、現在の業務要件で不要な外部認証経路が残っていないかを定期的に棚卸しすることが重要です。

出典

• Lenovo | Dropbox Cloud Storage: an overview – Dropbox Help
• How to turn 2-factor authentication on and off – Dropbox Help
• How to manage Dropbox account settings – Dropbox Help
• Can a password protect Dropbox on my computer? – Dropbox Help
• How to require two-factor authentication for Dropbox teams – Dropbox Help
• Law Enforcement and Government Requests – Dropbox
• Dropbox says about 5,000 accounts compromised in August hack – Reuters
• Dropbox User Accounts Breached by Hackers Who Accessed Data – Bloomberg Law