Dropbox 安全问题时间线

Dropbox 是首款面世的主流云存储空间服务，为整个行业开辟了许多道路。遗憾的是，多年来它也犯下了不少错误，其中最严重的是 2012 年的 Dropbox 违反事件，这是业内迄今规模最大的一起。我们整理了这份 Dropbox 安全问题时间线，方便您自行判断它是否仍是适合您的服务提供商。

如果您读完后准备改换门庭，请查看这篇关于删除 Dropbox 帐户的快速指南。最后，当您在考虑Dropbox 替代方案时，我们还在下文中分享了关于 Proton Drive 的信息，它的安全性要高得多。

Dropbox 安全违反事件：时间线

Dropbox 创立于 2008 年，自 2011 年起几乎每年都会发生某种违反事件，不过近来的频率有所放缓。尽管如此，在决定将文件托付给哪家云存储空间服务时，考察其往绩非常重要。

Dropbox 的第一起丑闻发生在 2011 年 6 月，距其创立仅三年。由于一个问题，在大约四个小时的时间里，Dropbox 系统会接受您提供的任何密码（新窗口），这意味着只要知道用户名或电子邮件，任何人都能够访问任何帐户——这是使用安全用户名的一个绝佳理由

话虽如此，值得注意的是，Dropbox 团队在接到通知后仅用五分钟就修复了该问题。然而，在那四个小时里，每个 Dropbox 帐户都完全敞开。在那段时间里没有攻击者发现这个漏洞，纯属幸运。

2012 年 7 月，Dropbox 报告（新窗口）称，一些用户名和密码从其他网站被窃取，随后被用于访问 Dropbox（这正是为每个网站分别创建强密码的一个充分理由）。Dropbox 的回应是部署安全措施，使未经授权的访问变得更加困难。

到目前为止一切尚可，但 2016 年有消息曝出，Dropbox 并未说明全部实情（新窗口）：2012 年被攻击的对象中包括一名 Dropbox 员工，他还在 LinkedIn 上使用了自己的公司密码。这让攻击者得以访问 Dropbox 的系统

2016 年事件曝光时——距最初的违反事件已过去四年——很快又有消息传出，约 6800 万用户的信息已泄露，这使其成为云存储空间历史上规模最大的黑客攻击，也是整个互联网历史上最大的攻击之一。此外，Dropbox 这家大公司花了四年时间才承认所造成损害的全部规模，也成了一桩丑闻

2013 年，爱德华·斯诺登 (Edward Snowden) 向《卫报》The Guardian 披露美国政府正通过 PRISM 项目监视世界各地的人们时，被点名的公司之一（新窗口）就是 Dropbox。据斯诺登所说，该公司热衷于与美国当局合作，并称其为“渴望成为 PRISM 伙伴的公司（新窗口）”。

目前尚不清楚 Dropbox 是否曾加入 PRISM 项目——该公司始终拒绝承认——但任何云存储空间服务会被描述为热衷于加入大规模监控阴谋，这一点大概值得人们停下来想一想

2017 年 1 月，一些 Dropbox 用户遇到了非常奇怪的事情：他们已删除的文件，有些甚至是多年前删除的，突然重新出现在他们的 Dropbox 帐户中。经过一番调查，Dropbox 发现一个问题（新窗口）悄然潜入了代码，导致文件和文件夹无法被永久删除。

虽然乍看之下似乎无害，但我们删除文件通常都是有原因的，可能包含敏感数据的内容在被销毁后仍如幽灵般存在，这是一个非常严重的问题。再说一次，这不是人们对 Dropbox 这样的公司应有的期望。

2018 年 7 月，一项有趣的哈佛研究（新窗口）发表，该研究将数千人的协作努力用作数据点，以确定团队如何开展合作。引人入胜的内容，得出了一些非常独到的发现。不过，所使用的数据来自 Dropbox，而相关人员从未被询问（新窗口）是否可以以这种方式使用这些数据。

尽管所使用的数据在发送给研究人员之前已经匿名化（文章的第一个版本中并未明确说明这一点），但一家受您信任的服务在未经同意的情况下就将这些数据分享给第三方——无论是否匿名——这仍然应该让人感到不安

除此之外，还可以说匿名数据并非那么匿名，因为即使从数字档案中移除姓名，仍有办法重构某人的身份。

Dropbox 最近的一起丑闻发生在 2022 年 11 月，当时又有一名 Dropbox 员工的凭证在一次网络钓鱼攻击中被窃取（新窗口）

这一次，攻击者冒充了 GitHub——一个开发者存储代码的网站。在此事件中，窃贼盗走了属于 Dropbox 员工和客户的电子邮件及密码。还值得注意的是，标记这次攻击的是 GitHub 自己，而不是 Dropbox。

作为回应，Dropbox 声明客户的文件从未处于危险之中，其核心模块——即构成 Dropbox 的组成部分，一旦暴露就可能威胁整个系统——也未受影响。这对他们来说是幸运，但对于电子邮件被网络犯罪分子利用的任何人来说，这只是一种廉价的安慰。

正如上文的时间线所示，Dropbox 本可以比现在做得好得多——而且它曾经也做到过。虽然它的糟糕程度还达不到 LastPass 那种级别，但它已不止一次出现失误。事件的范围和严重程度往往未被 Dropbox 报告，这表明其缺乏意识或透明度。而且这些违反事件大多是由糟糕的安全操作引起的

尤其令人担忧的是 Dropbox 缺乏端到端加密。当云存储空间服务使用端到端加密保护您的文件时，这意味着您的数据在上传到云端之前已在您的设备上完成加密。此后任何对云服务器的违反行为都不会导致任何数据暴露。我们在关于 Dropbox 安全性的文章中更详细地介绍了这些内容以及更多信息。

正是考虑到主流云存储空间提供商的这些缺陷，我们开发了 Proton Drive——一种安全、端到端加密的替代方案，集顶级安全性与愉悦的用户体验于一身。即便我们想查看您的数据——我们并不想，因为我们的商业模式就是保护您的隐私——我们也根本无法访问它。

自创立以来，这一隐私承诺一直是 Proton 的核心。多亏我们的支持者，我们无需外部资金也能做到这一点。因此，我们唯一的义务是对您——我们的社区——负责

如果您觉得使用安全且私有的云存储空间方案不错，欢迎免费加入 Proton Drive，体验一下私有网络的风貌。