Dropbox : une rumeur de piratage et un bug qui efface des fichiers

C’est un peu un cauchemar de DSI qui prend forme : voir un fournisseur de Shadow IT hacké exposant ainsi des informations potentiellement confidentielles et surtout non inventoriées. 400 couples login et mots de passe émanant prétendument du site de partage de documents Dropbox ont été publiées hier sur Pastebin, un site de partage d’informations préservant l’anonymat. L’utilisateur qui a posté ces données affirme détenir pas moins de 7 millions de couples login/password. Et promet d’en dévoiler davantage à mesure qu’il recevra des donations en bitcoin.

Dans un e-mail adressé à Reuters, le service de partage de données affirme toutefois ne pas avoir été piraté : « Ces login et mots de passe ont malheureusement été dérobés à d’autres services et utilisés dans des tentatives pour se connecter à des comptes Dropbox. Nous avons détecté ces attaques et une large majorité des mots de passe publiés ne sont plus valides depuis quelques temps déjà. Les autres ont également expiré désormais. »

Login suspect = mots de passe réinitialisés

L’entreprise a également posté un billet de blog confirmant les premières indications données à nos confrères. Selon la start-up de la Silicon Valley, les assaillants ont tenté de réutiliser des couples login/password récupérés sur un service non précisé pour accéder à « divers sites, dont Dropbox ». Une démarche classique consistant à exploiter la propension des utilisateurs à employer les mêmes identifiants et mots de passe sur plusieurs sites. « Nous avons des mesures en place afin de détecter les activités de connexion au service suspectes et nous réinitialisons automatiquement les mots de passe quand cela arrive », assure Dropbox sur son blog.

Si la start-up semble sûre de son fait sur cette affaire de piratage, elle a reconnu que d’anciennes versions de ses applications desktop étaient susceptibles d’effacer certains fichiers, quand les utilisateurs emploient Selective Sync. Cette fonction permet de limiter la synchronisation avec le service Web à certains dossiers. Le bug apparaît notamment après un crash ou un redémarrage forcé. Dropbox explique qu’il restaure les fichiers disparus quand il est en mesure de le faire et que les dernières versions de ses applications sont exemptes de ce bug qui aurait touché « un petit nombre d’utilisateurs » sur les quelque 200 millions que compte le service. Dropbox aurait également mis en place des mesures empêchant ce type d’erreurs de se produire de nouveau. Aux personnes touchées, la société offre un an d’abonnement gratuit.