Dropbox onderzoekt mogelijk lek na spam aan gebruikers

Dropbox-gebruikers krijgen sinds dinsdag spam op e-mailadressen die alleen worden gebruikt voor een Dropbox-account, ook in Nederland. De webopslagdienst onderzoekt de zaak omdat de aanwezigheid van een lek wordt vermoed.

Dropbox, dat vorig jaar nog kampte met een beveiligingslek, bevestigt dat gebruikers spam krijgen op e-mailaccounts van zijn dienst. "Het is onze topprioriteit om deze zaak grondig te onderzoeken en jullie zo snel mogelijk op de hoogte te stellen van de bevindingen", zegt het bedrijf in een statement, onder meer tegenover Geek.com.

De zaak kwam aan het rollen toen gebruikers klaagden op het eigen forum van Dropbox. In het topic staat onder meer een melding van een Nederlandstalig spam-mailtje, gestuurd aan een gebruiker met een .nl-adres. Gebruikers vermoeden een lek, omdat sommige van de e-mailadressen alleen worden gebruikt voor het Dropbox-account, waardoor de spammers de gegevens dus uit de database van Dropbox of uit de pc van de gebruiker moeten hebben. Het is onduidelijk of Dropbox zelf is gehackt of dat er bijvoorbeeld een zwakheid zit in de communicatie tussen client en server, waardoor het e-mailadres kan worden onderschept. Dropbox is een webopslagdienst waarmee gebruikers bestanden tussen diverse apparaten kunnen synchroniseren.

Reacties (62)

[:murb:]

Zelf het probleem ook even bekeken, maar het lijkt mij echt niet van dropbox te komen. Ik heb de afgelopen periode soortgelijke mailtjes gekregen van linkedin@mijndomein, lastfm@mijndomein, zelfs monsterboard@mijndomein (waar ik al tijden geen mails van ontvang, maar wel ooit een account heb gehad), maar ook een apart emailadres dat niet direct de naam van de dienst in zich heeft, maar waarvan ik wel zeker weet dat het alleen bij lastfm is gebruikt. In de mails worden deze adressen in de to en cc's op willekeurige manieren gecombineerd. Lijkt bijna wel alsof er log files van Google Apps (gebruik ik op mijn domein) zijn gebruikt... (er is echter 1 persoon in de dropbox thread die het probleem heeft en waar ik geen Google servers tussen zie).

update en mede @__fred__ ... :

bij nader inzien: het is niet zo willekeurig natuurlijk: de diensten kunnen natuurlijk afzonderlijk van elkaar gehacked en gescraped zijn en gelijk in een gigantische soep van emailadressen gegooid hebben waarin ze vervolgens weer clusteren op domeinnamen...linkedin had onlangs problemen, lastfm idem... en van een site als monsterboard (zal ook vast veel legacy spul draaien) verbaast het mij ook niet als die een lek heeft. Maar ondanks alle moeite hebben bij mij de spamfilters nog niet weten te misleiden... hoewel... over eurocasino hoor je de laatste tijd wel veel...

[Reactie gewijzigd door :murb: op 22 juli 2024 18:35]

[__fred__]

Hier hetzelfde... heb dezelfde strategie. Het bizarre is, ik heb een catch all die doorstuurt naar gmail, waar ik dus linkedin<getal>@mijndomein en dropbox<getal>@mijndomein etc. Daar wordt naar gecc-t.

Maar ik heb ook cc's naar de e-mailadressen van mijn familieleden waar ik zo vriendelijk van ben om ze door te sturen naar hun e-mailadressen. En dat is niet allemaal gmail.

Er zit echter wel e-mail van en naar mijn familieleden in gmail, dus dat zou betekenen dat mijn TOTALE gmail account op straat ligt.

Of er is toch een router onderweg op de ams-ix gehackt ofzo.

dus:

[e-mail] -> catch all mijn gmail adres
[e-mail] -> catch all mijn gmail adres
[e-mail] -> doorstuur naar hotmail van pietje
[e-mail] -> doorstuur naar bedrijfsaccount van klaasje.

etc.

Ik krijg mail van EuroDice met een cc naar al deze adressen... bizar.

[Reactie gewijzigd door __fred__ op 22 juli 2024 18:35]

[Verwijderd]

Hey, dat is een zinvolle opmerking! Ik zie nu ook dat ik ook van linkedin spam heb. M.a.w. er is OF iets veel groters aan de hand OF de spammers richten zich op mensen die via hun catch-all overal unieke mailadressen gebruiken... Aangezien die laatste groep dat meestal doet ivm spam preventie en dus niet echt dom is, zal dat niet de meest logische zijn. M.a.w. dan blijft alleen de optie over dat er iets groters aan de hand is waarbij e-mail addressen op een andere manier onderschept worden.

[elpino.rv]

ik ben ook bang voor iets groots.
een tijdje geleden is het bij mij begonnen, samen met nog wat anderen, ongeveer 2 weken voordat de linkedin hack bekend werd:

elpino.rv in 'nieuws: Wachtwoorden miljoenen LinkedIn-gebruikers op straat - update'

[Jochem_]

Ik heb geen dropbox, maar ontvang ineens wel het eurocasino/dice mailtje van Mark Jansen (nu 2 of 3 keer) op mijn [e-mail] adres. Het valt nogal op, want ik heb verder GEEN spam (en geen spamfilter) op dit domein.

Lijkt bijna wel alsof er log files van Google Apps (gebruik ik op mijn domein) zijn gebruikt... (er is echter 1 persoon in de dropbox thread die het probleem heeft en waar ik geen Google servers tussen zie).

Ik gebruik ook niets van Google icm mijn domein; dat lijkt het dus niet te zijn.

[Reactie gewijzigd door Jochem_ op 22 juli 2024 18:35]

[Shanquish]

spam wordt toch ook naar random adressen gestuurd, is het dan niet een te snelle conclusie dat als je spam krijgt dat het dan automatisch bij dropbox moet liggen, ook al gebruik je dat adres alleen maar voor dropbox ?

[3raser]

Als je bij Dropbox een e-mailadres gebruikt als [e-mail] dan is het al snel duidelijk waar de bron van de spam ligt. Geweldige feature van Gmail trouwens.

[PPie]

Geweldige feature van Gmail trouwens

De plus is gewoon onderdeel van RFC821.

[Eegee]

Het gaat er uiteraard om dat alles achter de plus (en voor de apestaart) variabel is, maar dat e-mails toch in één en dezelfde mailbox terecht komen. Die werking/feature van het plus-teken staat volgens mij niet gespecificeerd in die RFC.

[Toryu]

Wow, das handig! Nooit geweten dat dit kon bij Gmail. Voor de geïnteresseerden, hier wat uitleg:
http://lifehacker.com/144...isposable-gmail-addresses

[herbinator]

Hoe handig is het nou echt. Je geeft voor de + ([e-mail]) dus ook je eigen normale email adress weg

[[Remmes]]

daar letten spambots of 3rd party reclamemakers niet op, en dus is het te achterhalen hoe de spammers aan jouw email komen,,

[veldmuis]

Belangrijke toevoeging: daar letten spambots of 3rd party reclamemakers nog niet op.

Als dit meer en meer gebruikt gaat worden zal dat niet lang duren denk ik.

[locke960]

Als veel mensen dit gaan doen zullen spammers natuurlijk standaard hun adreslijst gaan kuisen door bij alle gmail adressen het gedeelte achter de "+" weg te laten.
Als ze het nu al niet doen.

[nexhil]

Klopt maar je kunt sneller achter de probleem veroorzaker komen

[ShittyOldMan]

Hier ook [e-mail], doe ik voor elke site om deze reden, jaren geleden geregistreerd, eigenlijk nooit gebruikt, dat adres is maar op 1 plek bekend, komt binnen op een catchall, en gisteren inderdaad spam.
Bij zoveel gevallen kan dat geen toeval zijn lijkt me.

[PhilipsFan]

Inderdaad, super feature. Alleen jammer dat de helft van de webwinkels het e-mailadres als ongeldig ziet. Heb er zelfs al meegemaakt die het plusje gewoon weglieten. En ik me maar afvragen waar die mail bleef. Amateurs.

Ontopic: Als het inderdaad een lek is, dan is dat geen goed nieuws voor Dropbox. Als er al e-mailadressen uitlekken, hoe zit het dan met de veiligheid van je bestanden? Ze hadden daar vantevoren wel es beter over na mogen denken.

[friend]

Als dit veel gebruikt gaat worden, dan zal de +* er al snel uitgefilterd gaan worden, dat emailadres is ook geldig en er is niet meer te zien waar het vandaan komt.
Voor spam heeft dit dus eigenlijk (binnenkort) geen nut meer en is meer bedoeld om eenvoudig je emails te kunnen ordenen.
Beter is om een eigen domain met email forwarding te nemen, zo kan je echt unieke emailadressen maken. Voor minder dan 15 euro per jaar heb je dit al bij diverse domainregistries.

[player-x]

Heb zelf voor $15 per jaar een eigen domein, en daar werkt het nagenoeg het zelfde, alleen geen probleem met dat de webwinkels het e-mailadres als ongeldig ziet.

[e-mail], ik geef leterlijk iedereen zijn eigen email adres, zodat als iemand dom genoeg is geweest om om mijn email adres te delen, of gewoon gehackt is, kan ik het betreffende adres blokken, bij mijn registrar waar ik een forwarding service heb.

[ShadowBumble]

Dit doe ik dus exact hetzelfde Zo kan ik altijd de oorsprong achterhalen waar het mail adres bij vandaan komt

[.Peter.]

Een alternatief is het gebruiken van punten. GMail negeert alle punten in een e-mailadres, dus [e-mail] is hetzelfde als [e-mail] of [e-mail]. Dit valt minder op als [e-mail]

[ATS]

Stuk minder handig om te onthouden. Had je [e-mail] nu gebruikt voor Dropbox, of had je daar toch [e-mail]?

[Xiaoyao]

Heb ze ook ontvangen. Was overigens ook duidelijk Google Translate niveau Nederlands. Heb ze op 2 van mijn e-mailadressen gekregen, welke ik toevallig ook allebei gebruikt heb voor Dropbox. Het meest vreemde vond ik dat ze door mijn spam filters kwamen (o.a. van Hotmail, die normaal gesproken alles pakt, soms ook een beetje te veel).

@Rigs: Waarom denk je dat ze de kat uit de boom kijken als ze dit aangeven:
"Het is onze topprioriteit om deze zaak grondig te onderzoeken en jullie zo snel mogelijk op de hoogte te stellen van de bevindingen"

Volgens Symantec is dit overigens al een tijdje aan de gang, dit bericht dateert van 8 mei:
http://www.symantec.com/c...s/dropbox-abused-spammers

"We saw over 1,200 unique Dropbox URLs being used in spam over a 48-hour period. We have informed Dropbox, providing them with the full list of URLs."

This abuse is a good reminder that any site which makes user-supplied content publicly available must continue to be vigilant about dealing with abuse. Although Dropbox is a high-profile site, spammers target all sorts of sites, big and small. There are many things that sites do to deal with such abuse, but in some cases this crucial work is often seen as low priority, despite the damage that such abuse can cause. Dropbox however assured us "they care about their user's security and experience above all else."

[Menesis]

Volgens mij gaat dat Symantaec artikel helemaal niet over hetzelfde soort spam, wel goed lezen he!
In het artikel hebben ze het over misbruik van de public folder functie. Die is dan ook al een tijdje geleden eruit gehaald voor nieuwe gebruikers.
"Dropbox has confirmed that it will be ending public folder support from the beginning of August, though the change will only impact new accounts and new public shares."

[Reactie gewijzigd door Menesis op 22 juli 2024 18:35]

[Rigs]

verkeerde woordenkeuze met de kat uit de boom kijken: ze waren zelf nog niet op de hoogte maar werden op de hoogte gebracht door gebruikers en/of symantec

[Orion84]

Dropbox invites die je verstuurt om een folder te delen met anderen hebben je dropbox registratie adres als Reply-To. Daarmee is het maar een kleine stap om met dat adres in een adresboek te belanden op een PC die besmet is met malware die dat adresboek doorspeelt aan een spammer.

Dus de conclusie dat er aan Dropbox kant een lek zit, omdat je spam op dat adres krijgt is wellicht enigszins voorbarig. Sowieso kan het ook best zijn dat die "speciale" adressen niets anders zijn dan dropbox@<mijndomein>, wat natuurlijk ook gewoon een voor de hand liggend adres kan zijn wat spammers voor elk domein dat ze kennen kunnen uitproberen.

Maar als meerdere gebruikers vanaf hetzelfde moment ineens spam op dat adres ontvangen, dan is het inderdaad geen verkeerd idee om dat toch even goed te onderzoeken.

[Reactie gewijzigd door Orion84 op 22 juli 2024 18:35]

[Menesis]

Eén kleine zijnoot: personen melden dat zij een 'catch all' account hebben ingesteld, maar dat de spam alleen op het specifieke, unieke dropbox account binnenkomt. Dus het is in dit geval niet zo dat spambots random domeinen afstruinen en alles@datdomein uitproberen.
Maar verder inderdaad: er zijn heel wat meer oorzaken te bedenken dan een dropbox lek. Goed dat ze het onderzoeken uiteraard.

[Orion84]

Waar ik meer op doelde is op spambots die specifiek dropbox@<alle domeinen> uitproberen

[Menesis]

nah, die vlieger gaat helaas ook niet op, gebruikers hadden andere adressen dan dropbox@eendomein. staat hier ergens tussen.

[Orion84]

Klopt, en ook enkele van de andere alternatieve verklaringen zijn onwaarschijnlijk nu ik de meldingen op het dropbox forum zo lees.

Er zijn mensen die spam ontvangen op accounts die geen lid zijn van shared folders en ook claimen nooit zelf invites en dergelijke te hebben verstuurd.

[Verwijderd]

Ik heb ook zo mijn twijfels over de Dropbox beveiliging vooral vanwege deze quote op de helppagina van Dropbox:
"Your files are actually safer while stored in your Dropbox than on your computer in some cases. We use the same secure methods as banks."

Wat is er dan zo speciaal aan banken? En aangezien medewerkers toegang kunnen krijgen tot mijn bestanden, hoeveel stelt die encryptie dan voor die ze zogenaamd gebruiken? Wordt mijn wachtwoord gehasht en gesalt?

[freedragon]

Vandaar dat ik ben overgestapt naar Spideroak. Daar worden al je bestanden geëncrypt opgeslagen. Uietraard kan je tot op bestandsniveau meerdere computers laten synchroniseren met spideroak.
Grootste nadeel van Spideroak is, dat als je je wachtwoord vergeet, niemand meer bij je bestanden kan.

[Polster]

Een ander goed alternatief dat ik al een tijdje gebruik is Wuala. Client-side encryptie en data-servers in Europa en niet in de VS.

[GreenFrog]

In mijn DropBox staan AL mijn bestanden versleuteld (met BoxCryptor), ik laat het wel uit mijn hoofd om plain bestanden er op te zetten.

Op alle pc's heb ik dan een map gemount als drive S: genaamd "SECURE", en daar staan weer een 4K pdf's op (paperless office, oftewel alles scannen wat op de deurmat valt of via mail komt en belangrijk is om te bewaren).

Ook de realtime synchronisatie van m'n Favorieten map gaat met encryptie.

[Bitpusher3]

Kan het niet gewoon spoofed mail zijn? M.a.w.: vervalste afzender adressen? De meeste spam werkt daar mee namelijk.

[Reactie gewijzigd door Bitpusher3 op 22 juli 2024 18:35]

[Orion84]

Wat heeft dat er mee te maken dat mensen spam ontvangen op e-mailadressen die (tot op zekere hoogte) alleen bij dropbox bekend zijn?

Het gaat niet om spam vanuit dropbox adressen, het gaan om spam richting adressen die specifiek zijn aangemaakt om bij dropbox te registreren en nergens anders worden gebruikt.

[InflatableMouse]

Er zijn toch tal van apps voor mobiele apparaten met dropbox integratie waarbij je je dropbox account gegevens invult in de app. Wie geeft de garantie dat die spam niet komt van een van die apps die die loginnamen niet heeft doorverkocht?

[Verwijderd]

Die garantie kan ik je wel geven! Ik heb geen app die dropbox integreerd en mijn dropbox e-mail daarvoor nodig had. Ook heb ik dezelfde spam op mijn linkedin e-mail adres en linkedin heb ik in zijn geheel niet op mijn telefoon in gebruik.

[Ramzi-M]

Ik heb 24 juni mij met een nieuw e-mailadres bij Dropbox geregistreerd en ik krijg geen spam.

[Rigs]

Minder nieuws dit, heb ook een dropbox maar kan onmogelijk zeggen of de daarin spam afkomstig is van dropbox wegens dit mail adres niet enkel voor dropbox, wel leuk dat mensen dit gaan melden richting dropbox en die dan beetje de kat uit de boom kijkt onmiddellijk terecht op onderzoek gaat.

k'gebruik het enkel voor epubs en fotos, zou het niet wagen om daar bijvoorbeeld bankuitreksels of andere te gaan parkeren

[Reactie gewijzigd door Rigs op 22 juli 2024 18:35]

[carpcatcher]

ik heb een speciaal dropbox email adres [e-mail] maar had hier al veel eerder spam op, dat tegelijk op andere email accounts: rabobank shitbende...