Kot pišejo na svojem blogu, se je vse skupaj začelo s krajo uporabniških podatkov na neki tretji strani (ne piše kateri), nakar so tamkajšnji napadalci preizkusili dobljene e-poštne naslove in gesla še na drugih spletnih straneh, najbrž GMailu in Facebooku, a tudi Dropboxu. Pri tem se jim je zasvetila zvezda sreča, saj je eden od ukradenih naslovov pripadal zaposlenemu pri Dropboxu, tako da so napadalci dobili dostop do njegovega računa. Tu pa se začne drugi del napada. Med pregledovanjem računa (ročno očitno) so napadalci našli še zajetno bazo e-poštnih računov od uporabnikov Dropboxa, ki jih je zaposleni (najbrž v nasprotju z zakonom in internimi pravili za ravnanje z osebnimi podatki) hranil kar v svojem dropbox imeniku, v nešifrirani obliki. To bazo so potem bržkone preprodali naprej nekomu, ki je potem poskrbel za dostavo spama. Kaj so storili z ostalim nagrabljenim plenom (očitno so se trudili), se seveda ne ve.
Dropbox je na svoji strani obljubil uvedbo opcijske dvofaktorske avtentikacije (geslo + npr. pin preko sms-a) za uporabnike, oziroma obvezne za zaposlene, ter pripravo posebne spletne strani, preko katere bo mogoče videti vse nedavne poskuse prijave v sistem. To bi otežilo vdor v sistem v primeru kraje gesla, oziroma olajšalo odkritje in prijavo s strani uporabnikov, če se bo uporabnikom seveda ljubilo pogledati to stran. Nekaj dodatnih hrčkov bodo zaposlili tudi pri Dropboxu, na posodobljenem hevrističnem sistemu za iskanje sumljivega vedenja (sočasne prijave z zelo oddaljenih IP naslovov, idr.).
Vse skupaj je, kot rečeno, še en pomemben opomnik uporabnikom, naj ne uporabljajo istih gesel za vse spletne strani, oziroma ne vsaj za najpomembnejše servise ranga e-pošta, socialno omrežje, varnostna kopija datotek. Istočasno velja priporočiti, da občutljivih datotek ne velja shranjevati na splet v nešifrirani obliki.
vir: SloTech
