Nell’era della trasformazione digitale, ci è stata promessa una navigazione fluida, sicura e, soprattutto, libera dal peso mnemonico delle password. Tuttavia, la recente falla che ha colpito Dropbox tra il 4 e il 21 agosto 2026 ci ricorda bruscamente che ogni automatismo nasconde un’insidia. Il caso, emerso nelle ultime ore, non riguarda un sofisticato attacco brute-force, ma evidenzia una negligenza strutturale nella gestione delle identità digitali che solleva interrogativi inquietanti sull’affidabilità dei colossi del tech.
Il cuore del problema risiede nel sistema di Single Sign-On (SSO), quella tecnologia che permette di accedere a un servizio utilizzando le credenziali di un altro. In questo caso, il ponte crollato è quello teso tra Dropbox e Lenovo. L’alleanza tra le due aziende consentiva agli utenti di autenticarsi sul cloud tramite il proprio Lenovo ID. Una comodità estrema che si è trasformata in un cavallo di Troia a causa di una falla banale quanto imperdonabile: il processo di verifica dell’indirizzo email di Lenovo era facilmente aggirabile.
In termini pratici, un malintenzionato poteva creare un profilo Lenovo utilizzando un indirizzo email non proprio, senza che il sistema richiedesse una prova effettiva del possesso di quella casella postale. Il vero cortocircuito, però, è avvenuto in casa Dropbox. Il servizio di cloud storage accettava i token di autenticazione inviati da Lenovo con una fiducia cieca, permettendo l’accesso immediato all’account della vittima senza richiedere la password originale o una conferma aggiuntiva per il collegamento di un nuovo metodo di login.
Le tracce lasciate dagli intrusi, come la creazione di profili fittizi registrati in massa sotto nomi di fantasia, suggeriscono un’operazione su vasta scala, facilitata dalla reperibilità quasi pubblica degli indirizzi email nei database di vecchi data breach. Sebbene Dropbox abbia dichiarato che non vi siano prove di esfiltrazione di file, il danno d’immagine è profondo. La domanda sorge spontanea: come può una piattaforma che custodisce i dati sensibili di milioni di persone trascurare una misura di sicurezza basilare come la verifica incrociata di un nuovo provider di accesso?
Questo episodio mette a nudo la fragilità del cosiddetto “futuro senza password”. Delegare la propria sicurezza a terzi significa indebolire l’intera catena: basta che l’anello più debole ceda affinché l’intera infrastruttura crolli. Se da un lato l’integrazione tra ecosistemi diversi è il motore della moderna user experience, dall’altro non può esistere innovazione senza una responsabilità condivisa che metta la protezione del dato davanti alla velocità del click.
Oggi Dropbox ha corretto la vulnerabilità e resettato le sessioni a rischio, ma la lezione resta valida per tutti. La sicurezza informatica non può essere considerata un pacchetto preconfezionato da acquistare da partner esterni; deve essere un processo attivo, critico e mai basato sulla fiducia incondizionata. In un mondo dove la nostra identità digitale è il bene più prezioso, la pigrizia degli sviluppatori rischia di diventare il miglior alleato dei pirati informatici.