Dropbox Umumkan 5.000 Akun Bocor: Celah Integrasi Lenovo Jadi Biang Kerok
Baca dalam 60 detik
- Serangan siber pada Agustus lalu membobol sekitar 5.000 akun Dropbox, dengan akses ilegal terjadi pada 4–21 Agustus.
- Akar masalah terletak pada integrasi lama antara Lenovo ID dan Dropbox yang memungkinkan autentikasi tidak sah, diperparah tanpa aktifnya verifikasi dua langkah.
- Dropbox telah memutus tautan Lenovo dan mewajibkan kata sandi terpisah, namun insiden ini menyoroti risiko keamanan rantai pasokan digital yang juga relevan bagi pengguna Indonesia.
Dropbox mengonfirmasi bahwa sekitar 5.000 akun penggunanya menjadi korban peretasan pada Agustus lalu, dengan para pelaku berhasil mengakses dan mengunduh berkas yang tersimpan di platform penyimpanan awan tersebut. Pengumuman ini disampaikan perusahaan pada Selasa (31/8) setelah laporan Bloomberg News mengungkap insiden itu lebih awal, dan sebagian pengguna telah menerima surel pemberitahuan pada Senin (30/8).
Menurut keterangan resmi Dropbox, akses tanpa izin tersebut berlangsung pada 4–21 Agustus. Dari total akun yang terdampak, kurang dari sepertiganya mengalami akses ke berkas—artinya sebagian besar akun mungkin hanya dibobol untuk melihat metadata atau informasi lain. Meski demikian, dampak reputasional langsung terasa: saham Dropbox merosot sekitar 2,4 persen dalam perdagangan lanjutan pada hari yang sama.
Investigasi internal Dropbox mengungkap bahwa celah masuk berasal dari integrasi antara Lenovo ID dan Dropbox. Akun yang dikompromikan ternyata terhubung dengan Lenovo ID yang tidak mengaktifkan autentikasi dua faktor (2FA). Kondisi ini memungkinkan peretas memanfaatkan apa yang disebut Lenovo sebagai "integrasi warisan" untuk melakukan autentikasi tidak sah terhadap akun Dropbox tertentu. Sebagai langkah respons cepat, Dropbox menghentikan semua sesi yang terautentikasi melalui Lenovo ID, menghapus tautan antara kedua layanan, dan mengubah sistem sehingga pengguna kini wajib memasukkan kata sandi Dropbox mereka sebelum mengakses akun melalui Lenovo.
Dari sisi Lenovo, perusahaan teknologi asal Tiongkok itu menyatakan bahwa pelanggan mereka sendiri tidak terdampak langsung. Mereka mengakui adanya kelemahan pada integrasi lama yang memungkinkan penyalahgunaan, dan penyelidikan masih berlangsung. Sementara itu, Dropbox telah melaporkan insiden ini kepada otoritas perlindungan data di berbagai yurisdiksi, sejalan dengan kewajiban regulasi seperti GDPR di Eropa atau UU PDP di Indonesia.
Bagi pengguna di Indonesia, insiden ini menjadi pengingat penting tentang risiko keamanan layanan cloud yang terhubung dengan ekosistem pihak ketiga. Banyak pengguna mungkin tidak menyadari bahwa akun Dropbox mereka dapat diakses melalui layanan lain seperti Lenovo ID, dan tanpa 2FA, risiko peretasan meningkat signifikan. Menurut laporan dari BSSN (Badan Siber dan Sandi Negara), serangan siber di Indonesia terus meningkat, dan sektor cloud menjadi target utama. Para ahli keamanan siber menyarankan agar pengguna selalu mengaktifkan verifikasi dua langkah, tidak hanya pada Dropbox, tetapi juga pada layanan cloud lain yang menyimpan data sensitif.
"Integrasi pihak ketiga sering menjadi titik lemah yang terlewat dalam audit keamanan. Kasus ini menunjukkan bahwa perusahaan perlu mengevaluasi ulang semua koneksi API dan memastikan setiap titik masuk memiliki lapisan keamanan yang kuat," ujar seorang analis keamanan siber yang enggan disebutkan namanya.
Ke depan, Dropbox berkomitmen untuk memperkuat sistem autentikasi dan memantau aktivitas mencurigakan secara lebih ketat. Namun, pertanyaan yang menggantung adalah: apakah langkah-langkah ini cukup untuk memulihkan kepercayaan pengguna? Dengan semakin maraknya serangan siber yang menargetkan rantai pasokan digital, insiden ini bisa menjadi studi kasus bagi perusahaan teknologi lain untuk segera menambal celah integrasi yang selama ini dianggap remeh.
