Bulut hizmeti veren popüler servislerden biri olan Dropbox, bu hafta Çarşamba günü yayınladığı mesajda şirketin elektronik imza hizmeti veren Sign’ın müşterilerini etkileyen bir veri ihlalini duyurdu.
Dropbox tarafından Çarşamba günü SEC’e yapılan bir başvuruda, 2019 yılında satın alınan ve daha önce Hello Sign olarak bilinen Dropbox Sign’ın geliştirici ortamına yetkisiz erişim keşfettiğini bildirdi. Tehdit aktörlerinin bu yetkisiz erişim sayesinde Dropbox Sign kullanıcıları ile ilgili hesap ayarları, isimler ve e-postalarda dahil olmak üzere tüm verilere erişmişler. Bunlarla birlikte bazı kullanıcılara ilişkin telefon numaraları, karma şifreler, API anahtarları ve çok faktörlü kimlik doğrulama yöntemlerini ilişkin kimlik doğrulama bilgileride açığa çıkmış.
Kullanıcılara ait dosyalara ilişkin yapılan açıklamada, tehdit aktörlerinin kullanıcıların hesaplarındaki sözleşmeler veya şablonlar gibi içeriklere veya ödeme bilgilerine eriştiğine dair hiçbir kanıt bulunmadığını dile getirildi.
Gerçekleştirilen izinsiz girişin 24 Nisan’da tespit edildiği belirtiliyor. Şirket bu güvenlik olayına yanıt olarak etkilenen kullanıcıların Sign hizmetindeki oturumlarını kapatmış ve şifrelerini sıfırlamış. Ayrıca API anahtarları ve OAuth’ı dönüşümlü olarak kullandırmaya başlamış. Etkilenen kullanıcılar dışında, Sign hizmetinden yararlanan tüm kullanıcılara şifrelerini sıfırlayıp, değiştirmeleri tavsiyelerinde bulundu.
