Vad som hände i Dropbox Sign-intrånget
Dropbox har offentliggjort ett allvarligt säkerhetsincident som drabbar tjänsten Dropbox Sign, en e-signaturplattform som används av privatpersoner och företag för att skicka och signera dokument lagligt online. En hotaktör fick obehörig åtkomst till plattformens produktionsmiljö – den levande infrastrukturen som hanterar verklig användardata – och kom åt ett brett spektrum av känslig information.
Den exponerade datan inkluderar e-postadresser, telefonnummer, hashade lösenord och information om multifaktorautentisering (MFA). Den sista kategorin är särskilt anmärkningsvärd. Att MFA-inställningar och enhetstoken har exponerats innebär att angripare kan ha mer än bara ditt lösenord att arbeta med. Dropbox har börjat meddela berörda användare och uppmanar dem att återställa sina inloggningsuppgifter omedelbart.
Undersökningen pågår fortfarande och det fulla omfånget av intrånget har ännu inte bekräftats offentligt.
Varför MFA-exponering gör detta intrång allvarligare
De flesta dataintrång följer ett välbekant mönster: e-postadress och hashat lösenord exponeras, angriparen försöker knäcka hashen eller stoppa in inloggningsuppgifterna i andra tjänster, och konton faller. Det här intrånget går ett steg längre.
När MFA-konfigurationsdata komprometteras får angripare potentiellt insikt i hur ett offers andra faktor är uppsatt. Beroende på vad som lagrades och hur, kan detta göra det lättare att kringgå eller social-manipulera sig runt det andra skyddslagret. Det innebär också att det kanske inte räcker att bara byta lösenord. Om din autentiseringsapp är kopplad till en enhetstoken som har exponerats finns det en svag länk i säkerhetskedjan som måste ersättas helt.
Hashade lösenord är, även om de inte är omedelbart läsbara, inte nödvändigtvis säkra. Svaga eller återanvända lösenord kan knäckas med hjälp av ordboksattacker eller regnbågstabeller. Om ditt Dropbox Sign-lösenord var kort, vanligt förekommande eller delat med en annan tjänst bör det behandlas som komprometterat redan nu.
Vad detta betyder för dig
Om du har ett Dropbox Sign-konto är det säkraste antagandet att din e-postadress och ditt lösenordshash befinner sig i händerna på någon som inte borde ha dem. Här är vad du bör göra:
Återställ ditt Dropbox Sign-lösenord omedelbart. Använd ett starkt, unikt lösenord som du inte har använt någon annanstans. En lösenordshanterare gör detta enkelt och tar bort frestelsen att återanvända inloggningsuppgifter.
Registrera om dig för MFA. Lämna inte din befintliga MFA-konfiguration på plats. Eftersom MFA-konfigurationsdata ingick i intrånget är det klokt att inaktivera din nuvarande MFA-konfiguration och sedan sätta upp den på nytt från grunden. Om du använder SMS-baserad tvåfaktorsautentisering bör du överväga att byta till en autentiseringsapp, som generellt är mer motståndskraftig mot avlyssning.
Kontrollera om du återanvänt inloggningsuppgifter. Om samma lösenord som du använde för Dropbox Sign förekommer någon annanstans, byt det på de tjänsterna också. Credential stuffing – där angripare tar ett set komprometterade inloggningsuppgifter och provar dem mot dussintals andra plattformar – är en av de vanligaste och mest effektiva följdattackerna efter ett intrång som detta.
Övervaka dina konton för ovanlig aktivitet. Håll utkik efter lösenordsåterställningsmejl som du inte begärt, okända inloggningsmeddelanden eller annan kontoaktivitet som ser misstänkt ut. Detta är särskilt viktigt för e-postkonton, som kan användas som en ingång för att återställa lösenord på allt annat.
Använd ett VPN på ej betrodda nätverk. När du återställer inloggningsuppgifter eller loggar in på tjänster igen minskar du risken för att dina nya uppgifter avlyssnas om du gör det via en betrodd, krypterad anslutning. Offentligt Wi-Fi och delade nätverk är inte rätt plats för att hantera kontoåterställning.
Djupförsvar är inte valfritt
Dropbox Sign-intrånget påminner oss om att ingen enskild säkerhetsåtgärd är tillräcklig på egen hand. Hashade lösenord är bättre än klartext, men de är inte ogenomträngliga. MFA är bättre än ett lösenord ensamt, men det är inte ogenomträngligt när konfigurationsdata i sig har exponerats. Målet med djupförsvar är att säkerställa att när ett lager fallerar, står andra fortfarande kvar.
För vardagsanvändare innebär det att kombinera starka unika lösenord, robust MFA, försiktiga nätvanor och regelbunden övervakning till en rutin snarare än en reaktion. Intrång kommer att fortsätta att ske. Organisationer du litar på med din data kommer ibland att misslyckas med att skydda den. Vad du kan kontrollera är hur stor skada ett enda komprometterat konto kan orsaka innan du upptäcker det.
Börja med grunderna: byt berörda lösenord, förnya din MFA-registrering och ta stock av var du annars kan ha återanvänt samma inloggningsuppgifter. Dessa tre steg sätter dig steget före det mesta av den risk som detta intrång skapar.
