Im Rahmen der Aufarbeitung eines Sicherheitsvorfalls hat der Cloud-Dienstleister Dropbox neue Details zu unbefugten Zugriffen auf Nutzerdaten bekannt gegeben. Wie das Unternehmen mitteilte, wurden in rund 1.600 Konten Dateien durch Dritte eingesehen oder heruntergeladen. Dieser Befund ist Teil einer umfassenderen Untersuchung eines Vorfalls, der sich zwischen dem 4. und 21. August 2026 ereignete.
Schwachstelle in Drittanbieter-Integration bei Dropbox
Ursache für den unbefugten Zugriff war nach Unternehmensangaben ein Fehler bei der E-Mail-Verifizierung der Lenovo-ID. Diese Sicherheitslücke in einer Legacy-Integration ermöglichte es Angreifern, die Authentifizierung zu umgehen. Insgesamt waren von diesem Problem etwa 5.000 Konten betroffen, auf die potenziell zugegriffen werden konnte. Ein wesentlicher Faktor für den Erfolg des Angriffs war das Fehlen einer Multi-Faktor-Authentifizierung (MFA) bei den kompromittierten Konten.
Dropbox hat auf den Vorfall reagiert und den Authentifizierungsprozess angepasst. Künftig ist eine Passworteingabe zwingend erforderlich, bevor eine Anmeldung über die Lenovo-ID erfolgen kann. Betroffene Nutzer hatten zuvor über die Erstellung betrügerischer Lenovo-IDs berichtet, was auf eine gezielte Ausnutzung der Schwachstelle hindeutet. Experten ziehen Parallelen zu den Schwachstellen CVE-2026-55075 und CVE-2026-14781.
Gezielte Vishing-Angriffe auf Unternehmensinfrastrukturen
Die Vorfälle bei Dropbox stehen im Kontext einer Reihe von Angriffen auf Identitäts- und Zugriffssysteme (IAM) in der jüngeren Vergangenheit. So bestätigte der Gesundheitsdienstleister McKesson einen Cloud-Breach, bei dem die Gruppierung ShinyHunters rund 284 Millionen Patientendaten mit einem Gesamtvolumen von fast 1 Terabyte erbeutete. Der Angriff erfolgte über eine Vishing-Kampagne, die auf das Okta-SSO-System abzielte und anschließend Zugriff auf Salesforce- und Snowflake-Instanzen ermöglichte. Bis zum 1. September 2026 wurde eine Lösegeldzahlung in Höhe von 55 Millionen US-Dollar gefordert.
Angriffe auf die IT-Infrastruktur und neue gesetzliche Vorgaben stellen Unternehmen heute vor enorme Herausforderungen bei der Absicherung ihrer Daten. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und Bedrohungen Sie jetzt kennen müssen, um Ihre Firma proaktiv zu schützen. Cyber Security Bedrohungen abwenden und Unternehmen schützen
Auch Microsoft beobachtete koordinierte Vishing-Aktivitäten. Die Kampagne „Spring Ring“, die zwischen Januar und April 2026 aktiv war, erreichte mehr als 150 Mitarbeiter in über zehn Unternehmen. Die Angreifer imitierten dabei den IT-Support über Microsoft Teams, um Remote-Zugriff zu erlangen oder Malware zu installieren. Von dort aus bewegten sie sich lateral im Netzwerk bis zu den Domain-Controllern.
Risiken durch Token-Diebstahl und Insider-Bedrohungen
Neben direktem Phishing rücken technische Methoden zur Umgehung der Authentifizierung in den Fokus. Anthropic warnte kürzlich vor dem Einsatz von Infostealern wie Vidar, LummaC2 und RedLine, die gezielt Session-Cookies für den Dienst Claude entwenden. Ein sogenannter Replay-Angriff ermöglicht es Dritten dann, auf verbundene Dienste wie Gmail zuzugreifen. Besonders betroffen seien hierbei Konten von Selbstzahlern.
Ergänzend dazu identifizierte das Sicherheitsunternehmen Huntress im August 2026 das Phishing-Kit „Knight Office“. Dieses nutzt Adversary-in-the-Middle-Angriffe (AiTM) gegen Microsoft 365-Umgebungen, um Session-Token zu stehlen. Innerhalb von zwei Wochen wurden mindestens neun derartige Angriffe dokumentiert, die unter anderem Redirects über Monday.com nutzten.
Ob Token-Diebstahl oder manipulierte E-Mails – Cyberkriminelle nutzen gezielt psychologische Schwachstellen aus, um in Firmennetzwerke einzudringen. Ein kostenloser Leitfaden zeigt Ihnen in vier Schritten, wie Sie Ihr Unternehmen effektiv gegen Phishing-Angriffe und moderne Betrugsmaschen absichern. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Abseits externer Angreifer stellen Authentifizierungsfehler und Insider-Risiken Unternehmen vor Herausforderungen. Apple reichte im Juli 2026 Klage gegen OpenAI ein, nachdem ein ehemaliger Ingenieur, der das Unternehmen im Januar 2026 verlassen hatte, aufgrund eines Authentifizierungsfehlers weiterhin Zugriff auf interne Systeme behielt.
Der Betroffene soll Dutzende Engineering-Dateien heruntergeladen haben. In einem anderen Fall verursachte ein ehemaliger Mitarbeiter nach seiner Kündigung einen Schaden im Bereich von Hunderttausenden US-Dollar, indem er nach dem Ausscheiden weiterhin Zugriff auf interne Systeme behielt, Datenbanken korrumpierte und Konten sperrte.
Das FBI warnt zudem vor einer seit Ende 2025 aktiven Kampagne, bei der Angreifer OAuth-Consent-Phishing nutzen, um über Messaging-Plattformen langfristigen Zugriff auf Konten prominenter Personen und deren Umfeld zu erlangen.
