Aanvallers zijn erin geslaagd om vijfduizend Dropbox-accounts te hacken en data van gebruikers te stelen, zo heeft de opslagdienst zelf bekendgemaakt. Om op de accounts in te breken maakten de aanvallers gebruik van frauduleus aangemaakte Lenovo ID's. Dropbox werkt samen met Lenovo, waarbij de laatstgenoemde een identity provider is. Hierdoor kunnen gebruikers met een geverifieerd Lenovo ID inloggen op hun Dropbox-account.

Volgens Dropbox maakten de aanvallers misbruik van een probleem met het verificatieproces van Lenovo ID's. Hierdoor konden de aanvallers een Lenovo ID met het e-mailadres van Dropbox-gebruikers registreren, ook al hadden deze gebruikers zelf helemaal geen Lenovo ID aangemaakt. Vervolgens bleek het mogelijk om via dit Lenovo ID in te loggen op het Dropbox-account van de betreffende gebruiker, zonder dat hiervoor het Dropbox-wachtwoord was vereist. Dat laat de opslagdienst weten in een bericht aan getroffen gebruikers.

De aanvallen vonden plaats tussen 4 en 21 augustus. Dropbox stelt tegenover persbureau Reuters dat bij de aanval zo'n vijfduizend accounts zijn gehackt. Bij minder dan een derde van de gehackte accounts zouden de aanvallers ook data hebben gestolen. Naar aanleiding van het incident heeft Dropbox alle sessies tussen Lenovo ID's en Dropbox-accounts uitgelogd en aanpassingen doorgevoerd. Daardoor moeten gebruikers die weer via hun Lenovo ID willen inloggen ook hun Dropbox-wachtwoord opgeven.