Хакеры взломали продукт Dropbox для создания цифровых подписей, Dropbox Sign, и получили доступ к информации о пользователях, включая адреса электронной почты, имена и номера телефонов. 

В блоге от 1 мая команда Dropbox Sign сообщила, что взлом произошел 24 апреля и затронул всех пользователей продукта, ранее известного как HelloSign.

Среди обнародованных данных были адреса электронной почты, имена пользователей, номера телефонов, хэшированные пароли, ключи API, токены OAuth и данные для многофакторной аутентификации.

Команда безопасности Dropbox сбросила пароли пользователей и отключила их от устройств, подключенных к Dropbox Sign, а также разослала пострадавшим пошаговые инструкции по дальнейшей защите своих данных. Кроме того, о случившимся сразу сообщили в органы регулирования защиты данных и правоохранительные органы. 

Взлом также раскрыл имена и адреса электронной почты людей, которые получили или подписали документ через Dropbox Sign, но не создавали аккаунт. Взлом не затронул тех, кто создал аккаунт, но не установил пароль от Dropbox, например, использовав "зарегистрироваться с помощью Google".

Компания Dropbox заявила, что не обнаружила никаких доказательств того, что что хакер получил доступ к содержимому аккаунтов Dropbox Sign пользователей, например, к документам, договорам или платежной информации.  

Кибератака затронула только инфраструктуру сервиса Dropbox Sign и не коснулась других продуктов Dropbox, даже если аккаунт Dropbox пользователя был связан с аккаунтом Dropbox Sign.