Dropbox 帳號被駭？駭客用這招绕过密碼登入——資安弱點解析與自保教學

你可能會發現，最近登入 Dropbox 時收到一些奇怪的登入通知，或者發現檔案有被移動的痕跡——先別慌張，這次的事件並不是因為你的密碼被盜，而是駭客利用了一個頗為狡詐的認證漏洞。讓我們把整件事拆開來看，這樣你才能真正知道該怎麼保護自己。

這次 Dropbox 資安事件到底是怎麼回事？

根據 2026 年 9 月 Decrypt 的報導，駭客這次並沒有直接破解你的密碼，而是透過一個「身份冒用」的手法：他們先在 Lenovo 的平台上，用受害者的 Email 地址註冊一個 Lenovo ID。由於 Dropbox 支援「以 Google、Apple 或 Lenovo 等第三方帳號登入」的功能，系統在看到這個 Lenovo ID 之後，就直接讓駭客進入了已經存在的 Dropbox 帳號——整個過程完全不需要知道你的 Dropbox 密碼。

老實說，這種攻擊方式並不新穎，但確實很多人沒想到「第三方登入」會成為破口。問題出在 Dropbox 對這些外來身份的驗證機制不夠嚴謹，沒有再次確認這個 Lenovo ID 是否真的屬於這個 Email 的擁有者。

攻擊流程拆解：駭客是怎麼進來的？

• 駭客取得你的 Email（可能是外洩資料庫、釣魚郵件或其他途徑）
• 用你的 Email 在 Lenovo 官網註冊一個新帳號
• 回到 Dropbox，選擇「用 Lenovo 登入」
• 系統以為你是 Lenovo ID 的擁有者，直接讓你進入原有的 Dropbox 帳戶

我的 Dropbox 帳號安全嗎？先檢查這幾件事

不管你有沒有收到異常通知，我建議所有人都動手檢查一下自己的帳號狀態。Dropbox 官方應該會陸續發送安全通知，但如果还没收到，你可以自己主動確認：

立即檢查清單

1. 查看登入裝置：進入「設定」→「安全性」→「已連結的裝置」，看看有沒有不認識的電腦或手機
2. 檢查登入紀錄：在同樣的頁面往下拉，會看到最近的登入時間和 IP 位址
3. 確認第三方應用程式：有些攻擊者會透過第三方應用程式取得長期存取權限，檢查「已連結的應用」
4. 查看檔案活動：如果發現有檔案在你不記得的时间被下載或分享，立刻彙整證據

如何自保？四個你現在就能做的防護動作

資安這種事，防範永遠比事後補救來得有效。以下是我建議每個 Dropbox 用戶都該落實的基本防護：

1. 啟用兩步驟驗證（2FA）

這是最基本、也最重要的動作。設定兩步驟驗證後，即使有人拿到了你的密碼或冒用第三方登入，沒有手機上的驗證碼也進不來。建議使用驗證器 App（如 Google Authenticator 或 Authy），避免用 SMS 簡訊（容易被攔截）。

2. 移除不用的第三方登入

如果你曾經用 Google、Apple、Lenovo 等帳號連結過 Dropbox，現在是時候檢查一下。把不再使用或不需要的第三方登入方式移除，減少攻擊面。

3. 使用獨立、高強度的密碼

很多人習慣所有服務都用同一組密碼，這在資安上是大忌。建議用密碼管理工具（如 1Password、Bitwarden）產生並儲存獨立的密碼。

4. 定期檢視帳號安全設定

每季至少打開 Dropbox 安全性頁面檢查一次，及時發現異常。

這次漏洞對加密貨幣與雲端產業的啟示

雖然這則新聞的主角是 Dropbox，但類似的「第三方登入漏洞」在加密貨幣產業並不罕見。許多 DeFi 平台、交易所或錢包都支援以 Google、Apple 或社交帳號登入，一旦這些第三方平台的身份驗證機制有漏洞，駭客就能長驅直入。

對於同時使用雲端儲存和加密貨幣服務的人來說，這次的教訓很明確：千萬不要把所有資產或重要資料都放在單一平台上，也不要過度依賴「以 XXX 登入」這種便利功能。資安的關鍵永遠是「纵深防禦」——多一道驗證，就多一道保障。

FAQ 常見問題

我的 Dropbox 帳號真的被入侵了嗎？

如果你有收到 Dropbox 官方寄出的安全通知郵件，請盡快依照郵件指示操作。若沒有收到通知，但發現帳號有異常（登入地點不明、檔案被移動、陌生裝置），建議先變更密碼並啟用 2FA。

這次攻擊跟密碼強度有關嗎？

基本上無關。這次駭客是利用「身份冒用」的手法繞過密碼機制，所以即使你的密碼再複雜，只要帳號有啟用第三方登入，就有可能被攻破。

Dropbox 官方有說明補償方案嗎？

截至目前為止，Dropbox 尚未公布具體的受害者補償計畫。如果你的帳號確實因為這次漏洞遭受損失，建議聯繫 Dropbox 客服並保留相關證據。

我應該放棄使用 Dropbox 嗎？

不需要直接放棄，但建議加強自身的安全設定。雲端儲存服務仍然便利，重點是學會如何保護自己的帳號。

資料來源與利益揭露

本文主要資訊來源為 Decrypt 於 2026 年 9 月 1 日的報導，講述攻擊者透過在 Lenovo 平台註冊受害者 Email 的方式，绕过 Dropbox 認證機制登入帳號。由於目前官方尚未公布完整的受影響帳號數量與後續補救措施，本文所提供的防護建議為一般性資安原則，讀者應自行判斷是否適用於個人情況。本站與 Dropbox、Lenovo 或任何第三方服務無合作關係，亦未收取任何費用進行推薦。

如果你對雲端資料安全或其他加密市場動態有興趣，歡迎持續關注我們的更新。記得，資安知識是最好的防護盾——多一份警覺，就少一份風險。