Dropbox Sign 电子签名平台遭黑，用户手机号码 / 邮箱等信息泄露

海外云服务提供商 Dropbox 昨日向美国证券交易委员会（SEC）通报，旗下电子签名平台 Dropbox Sign（原名 HelloSign）遭到黑客入侵，大量用户的密钥 / MFA 验证信息遭到泄露。

Dropbox 安全部门在 4 月 24 日发现 Dropbox Sign 服务器出现未经授权的访问活动。经过调查，Dropbox 发现黑客已经侵入服务器，获取了大量用户的邮箱、用户名、电话号码、（经过哈希加密过的）密码、API 密钥、OAuth 令牌、MFA 验证信息等内容。

据悉，本次安全事故影响到所有曾经使用过 Dropbox Sign 的用户（即使用户没有 Dropbox 账号），只要用户使用 Dropbox Sign 签署过文件，那么他们的电子邮箱和用户名就已经遭到泄露。

Dropbox 表示，根据目前调查结果，没有证据显示用户账号下的文件、合同、模板、支付信息等遭到黑客获取。相关安全事故波及范围仅限于 Dropbox Sign 的基础架构，并不影响 Dropbox 其他产品的运营环境。不过 Dropbox 并未说明究竟多少用户受到本次安全事故影响，也没有披露黑客究竟通过什么手段侵入了服务器。

这是 Dropbox 近年来最新一起安全事件。2016 年有媒体曝光该公司曾在 2012 年被黑客攻击，导致近 7000 万项用户信息泄露。2022 年 11 月该公司员工被网络钓鱼攻击，让黑客获得了公司内部 130 个 GitHub 库的内容。