Nedostatek v procesu ověřování e-mailové adresy u služby Lenovo ID umožnil útočníkům registrovat si účet na cizí e-mail a přes něj se bez hesla přihlásit do propojeného účtu Dropbox. Postiženo bylo přibližně pět tisíc uživatelů.

Dropbox potvrdil, že mezi 4. a 21. srpnem 2026 došlo k neoprávněnému přístupu k přibližně pěti tisícům uživatelských účtů, a to kvůli chybě na straně přihlašovací služby Lenovo ID. Ta obsahovala nedostatek v procesu ověřování e-mailové adresy, který útočníkovi umožnil zaregistrovat si u Lenova nový účet na e-mailovou adresu, kterou nevlastnil. Dropbox přitom svému propojení s Lenovo ID důvěřoval natolik, že takto ověřenou identitu akceptoval, aniž by po uživateli navíc vyžadoval zadání existujícího dropboxového hesla.

U části postižených účtů útočníci obsah prohlíželi a stahovali. Někteří uživatelé si podle zprávy webu BleepingComputer z 2. září 2026 všimli podezřelých přihlašovacích upozornění přibližně dva týdny před zveřejněním incidentu, a rovněž toho, že se jim na přihlašovací stránce Dropboxu nově nabízela možnost „Pokračovat přes SSO", ačkoli si u Lenova žádný účet nikdy nezaložili – právě to bylo prvním signálem, že se do jejich účtu někdo napojil přes cizí identitu.

Dropbox po zjištění problému ukončil platnost všech relací ověřených prostřednictvím Lenovo ID a nastavil, že přihlášení touto cestou nyní vyžaduje vždy ještě zadání standardního dropboxového hesla. Postižení uživatelé byli o neoprávněném přístupu informováni. Lenovo incident potvrdilo a uvedlo, že šlo o chybu v zastaralé integraci; podle společnosti přitom nebyli postiženi žádní její vlastní zákazníci, protože zranitelný byl výhradně mechanismus přebíraný třetími službami.