Dropbox culpa invasão de e-mail de funcionário por ataque de spam

O Dropbox disse que a conta de um de seus funcionários foi comprometida, levando ao envio de uma série de spams no mês passado, o que irritou usuários do serviço.

A senha roubada foi utilizada em uma conta que continha "um documento com endereços de e-mail de usuários", escreveu o engenheiro Aditya Agarwal, no blog da companhia.

"Acreditamos que esse acesso indevido foi o que levou aos spams", disse. "Pedimos desculpas por isso e adicionaremos métodos de controle que ajudarão a garantir que isso não aconteça novamente". A empresa também descobriu que nomes de usuários e senhas roubados de outros sites foram utilizados para acessar "um número pequeno de contas do Dropbox", escreveu Agarwal. Crackers geralmente utilizam combinações de usuário e senha em invasões, na esperança de que pessoas usem a mesma combinação - um problema comum em segurança.

O spam - escrito em alemão, inglês e holandês -, anunciava sites de jogos de azar e parece que afetou apenas usuários da Europa. Muitos daqueles que escreveram no fórum da empresa, afirmaram utilizar seus endereços de e-mail unicamente no Dropbox, o que levou a suspeita de que a companhia teria sido hackeada.

O Dropbox chamou uma equipe de segurança para investigar o caso, mas manteve até 21 de julho que não houve invasão em seu sistema interno ou contas comprometidas. Com a violação confirmada, o Dropbox planeja introduzir dois fatores de autenticação nas próximas semanas, como um sistema que enviará temporariamente um código para o celular do usuário.

Outro plano de upgrade inclui uma nova página que mostrará logs de atividade na conta aos usuários se outros "mecanismos automatizados que ajudarão a identificar atividades suspeitas", escreveu Agarwal. Poderá ser solicitado a usuários para modificarem suas senhas se elas não foram alteradas por um longo período.