Le 2 septembre 2026, l'incident Dropbox-Lenovo a été rendu public après l'envoi de notifications à des utilisateurs dont le compte avait été consulté sans autorisation. L'accès a eu lieu entre le 4 et le 21 août, via un ancien parcours de connexion fédérée qui permettait de se connecter à Dropbox avec un Lenovo ID.
Le point important pour les utilisateurs et les PME est le mécanisme : il n'a pas fallu casser un mot de passe Dropbox. Une faiblesse dans la vérification de l'adresse e-mail côté Lenovo a permis de créer une identité portant l'adresse d'une autre personne, puis de la faire accepter par Dropbox comme identité correspondante.
Ce que Dropbox et Lenovo ont confirmé
Dropbox a indiqué à Reuters qu'environ 5 000 comptes avaient été compromis. Des fichiers ont été consultés ou téléchargés dans moins d'un tiers de ces comptes ; ce chiffre ne permet pas de conclure que les autres comptes n'ont fait l'objet d'aucune tentative de lecture, seulement qu'aucun fichier n'y a été comptabilisé comme vu ou téléchargé dans le périmètre communiqué.
Les comptes touchés étaient liés au parcours Lenovo ID et ne disposaient pas de l'authentification à deux facteurs Dropbox. Lenovo a décrit l'origine comme une « intégration héritée » entre les deux services, en précisant que ses propres clients n'étaient pas concernés par l'incident. L'enquête publique ne désigne pas l'auteur de l'attaque.
Comment l'usurpation d'adresse a franchi la fédération
Dropbox utilisait Lenovo comme fournisseur d'identité : après l'authentification auprès de Lenovo, le service recevait une assertion indiquant quelle adresse e-mail représentait l'utilisateur. Le défaut décrit dans la notification Dropbox se situait en amont : un tiers pouvait enregistrer un Lenovo ID en utilisant l'adresse de la victime sans avoir à prouver qu'il contrôlait réellement sa boîte mail.
Le second défaut était le lien entre les deux comptes. L'adresse présentée par le Lenovo ID a été suffisante pour retrouver le compte Dropbox correspondant, alors que ce compte n'avait pas encore confirmé ce nouveau lien depuis son propre parcours de connexion. Une adresse identique dans deux bases ne prouve pourtant pas que la même personne contrôle les deux identités.
Cette chaîne explique pourquoi l'affaire dépasse Lenovo ou Dropbox pris séparément. Une fédération concentre la décision de confiance dans plusieurs systèmes : inscription de l'identité, vérification de l'adresse, création du lien, émission de session et contrôles du service final.
Quel périmètre pour les comptes et les fichiers
Le périmètre public ne signifie pas que tous les comptes Dropbox ont été exposés. Il désigne environ 5 000 comptes accédés pendant une fenêtre de 17 jours, avec des fichiers vus ou téléchargés dans moins d'un tiers des cas. Les notifications individuelles de Dropbox restent donc la référence pour savoir si un compte précis a été concerné et quelles actions ont été observées.
Dropbox a indiqué avoir expiré toutes les sessions authentifiées via Lenovo ID, supprimé les liens entre les Lenovo ID et les comptes Dropbox, puis ajouté une étape demandant le mot de passe Dropbox avant un accès par Lenovo. L'entreprise a aussi déclaré avoir revu le parcours de vérification utilisé avec ses autres fournisseurs d'identité.
Les vérifications à faire côté utilisateur
Une personne qui reçoit une notification Dropbox doit suivre le message depuis les réglages officiels du compte, et non depuis un lien reçu dans une réponse ou un message transféré. Les priorités sont de changer le mot de passe Dropbox, d'activer la MFA, de fermer les sessions inconnues et de vérifier les appareils, applications et méthodes de récupération encore autorisés. Pour remplacer le secret par une valeur robuste et unique, consultez le guide Soclyde des mots de passe sécurisés.
Il faut aussi regarder les fichiers sensibles, les liens partagés et les changements de profil intervenus pendant la période du 4 au 21 août. Si le compte servait à partager des documents de travail, prévenez les destinataires et faites tourner tout secret qui aurait été stocké dans un fichier accessible. Le fait de ne jamais avoir créé de Lenovo ID ne suffit pas à écarter le scénario décrit par Dropbox.
Les contrôles prioritaires pour une PME
Une PME devrait d'abord dresser la liste des fournisseurs d'identité acceptés par chaque service : Google, Microsoft, Apple, Lenovo ou tout autre partenaire. Pour chaque connexion, notez si elle a été explicitement liée par un administrateur ou par l'utilisateur, si une nouvelle identité peut être associée automatiquement par e-mail, et comment révoquer les sessions et les liens existants. Pour formaliser les règles de création et de renouvellement des secrets, appuyez-vous sur le guide de politique mots de passe pour PME.
La leçon de Dropbox est de ne pas confondre identité déclarée et identité prouvée. Un nouveau lien SSO devrait demander une preuve depuis le compte déjà existant, une MFA et, pour les comptes sensibles, une validation administrateur. Les journaux de connexion doivent conserver le fournisseur réellement utilisé, l'appareil, la date et les changements de permissions afin de repérer une voie d'accès oubliée.
Le lien avec Soclyde
Soclyde ne protège pas Dropbox et ne peut pas déterminer quels fichiers ont été consultés dans cet incident. Son utilité est complémentaire : générer un secret différent pour chaque service, conserver les mots de passe et codes de récupération dans un coffre chiffré local-first, puis partager un accès précis avec les personnes autorisées.
Cette discipline ne remplace ni la MFA ni les journaux Dropbox. Elle évite en revanche qu'un même mot de passe soit copié dans un document partagé ou réutilisé après la révocation d'une session. Pour formaliser ce fonctionnement dans une petite équipe, consultez le guide Soclyde sur le partage sécurisé des mots de passe.
À retenir
L'incident Dropbox-Lenovo montre qu'un mot de passe peut rester secret tout en laissant passer une usurpation : il suffit qu'un service fasse trop confiance à une identité fédérée et à une adresse e-mail correspondante. Les utilisateurs doivent sécuriser leur compte, leurs sessions et leurs fichiers ; les PME doivent inventorier les fournisseurs d'identité et exiger une preuve depuis le compte existant avant tout nouveau lien SSO.
