드롭박스는 깃허브를 사용해 공개/비공개 리포지토리를 관리하고, 일부 내부 배포에는 서클CI를 사용합니다. 10월 초에 여러 드롭박스 사용자가 서클CI를 사칭하는 피싱 메일을 받았습니다. 깃허브의 자격 증명을 사용하면 서클CI에 로그인할 수 있어서 이렇게 했나 봅니다.
메일만 보면 문제가 없어 보이기에 일부 직원들이 가짜 서클CI 로그인 페이지에 접속해 깃허브 Id/비밀번호/OTP를 써서 로그인했습니다. 그 결과 130개의 코드 저장소가 복사됐으며 개중에는 내부 프로토타입과 보안팀에서 사용하는 일부 파일이 포함되지만 핵심 코드는 없습니다.
로그인이 이루어진 날에 문제를 파악해서 차단했고, 아직까지는 다른 사람의 드롭박스 계정이나 결제 정보가 유출당한 정황은 없다고 합니다.