Tin tặc đánh cắp dữ liệu và bí mật xác thực từ dịch vụ chữ ký điện tử trên DropBox

​

DropBox Sign (trước đây là HelloSign) là một nền tảng chữ ký điện tử cho phép khách hàng gửi tài liệu trực tuyến để nhận chữ ký ràng buộc về mặt pháp lý.

DropBox đã phát hiện hành vi truy cập trái phép vào hệ thống DropBox Sign vào ngày 24 tháng 4 và mở một cuộc điều tra. Cuộc điều tra này xác định rằng kẻ tấn công đã có được quyền truy cập vào công cụ cấu hình hệ thống tự động Dropbox Sign, một phần của dịch vụ phụ trợ của nền tảng.

Công cụ cấu hình này cho phép thực thi các ứng dụng và dịch vụ tự động với các đặc quyền nâng cao, cho phép kẻ tấn công truy cập vào cơ sở dữ liệu khách hàng như email, tên người dùng, số điện thoại và mật khẩu đã được mã hóa,…

Dropbox đã đưa ra một số khuyến nghị/ đề xuất cho người dùng:

• Đặt lại mật khẩu: DropBox cho biết họ đã đặt lại mật khẩu của tất cả người dùng. Đối với người dùng của Dropbox Sign, việc đặt lại mật khẩu là một biện pháp quan trọng để bảo vệ tài khoản của họ. Điều này giúp ngăn chặn hacker sử dụng thông tin đã đánh cắp để truy cập vào tài khoản.
• Đăng xuất tất cả phiên đăng nhập: DropBox đăng xuất tất cả các phiên đăng nhập vào DropBox Sign. Việc đăng xuất tất cả các phiên đăng nhập từ tất cả các thiết bị khác cũng là một biện pháp bảo mật cần thiết. Điều này đảm bảo rằng hacker không thể tiếp tục truy cập vào tài khoản ngay cả khi họ đã có thông tin đăng nhập.
• Kiểm tra lại các khóa API: Dropbox đã cung cấp hướng dẫn cho người dùng để kiểm tra lại các khóa API. Điều này rất quan trọng để ngăn chặn hacker sử dụng các thông tin đã đánh cắp để truy cập vào các dịch vụ khác của người dùng.
• Cảnh báo về email lừa đảo: Dropbox cảnh báo người dùng cẩn thận với email lừa đảo có thể sử dụng thông tin đã bị lộ để thu thập thông tin nhạy cảm. Người dùng nên luôn kiểm tra tính xác thực của email và tránh nhấp vào các liên kết hoặc tải về các tệp đính kèm từ các email không xác đáng.