![La plateforme de signature électronique de [Dropbox] victime d’une intrusion](https://incyber.org//wp-content/uploads/2024/03/incyber-news-data-corrupted-cybersecurite-cybersecurity-2160x735.jpg)
La plateforme de signature électronique de Dropbox victime d’une intrusion
Dropbox, le spécialiste américain du partage de fichiers en ligne, a annoncé, le 1er mai 2024, que sa plateforme de signature électronique sécurisée, Dropbox Sign, avait été victime d’un piratage. L’intrusion, identifiée le 24 avril 2024, aurait occasionné un vol massif de données personnelles et d’informations de connexion.
Les données dérobées comprennent des e-mails, des noms d’utilisateur, des numéros de téléphone et des hashs de mots de passe, et concernent potentiellement tous les comptes de Dropbox Sign. La fuite touche aussi les personnes non inscrites au service, mais ayant signé électroniquement un document envoyé via Dropbox Sign. Leurs noms et leurs e-mails seraient aussi compromis.
Les cybercriminels auraient également volé des clés API, des jetons d’accès OAuth, et des clés
d’authentification multifactorielle (MFA). Les conséquences pourraient être graves, car ces derniers éléments permettent d’authentifier un document.
Dropbox a donc réinitialisé les mots de passe de tous les utilisateurs de la plateforme, déconnecté toutes les sessions encore actives et restreint l’utilisation des clés API. La firme précise que l’attaque n’a touché que l’infrastructure de Dropbox Sign, distincte des autres SI du groupe.