Ze hebben nooit de 2-factor authenticatie omzeild. De 2-factor authenticatie van Dropbox is alleen nodig voor de eerste keer aanmelden van een device en de eerste keer inloggen via een webbrowser (als je het vinkje 'trust this computer' aan zet). Aangezien je niet bij elke reboot of bij het herhaald inloggen je 2-factor authenticatie hoeft te doen, dan weet je al dat deze niet in alle gevallen nodig is. En aangezien je prima een computer kunt "clonen" (in ieder geval vanuit het perspectief van de client software en de server) was het dus ook al bekend dat je, als je toegang tot iemands systeem hebt, je effectief toegang tot iemands dropbox kunt krijgen. Hier hoefde geeneens onderzoek voor verricht te worden, dat was gegeven dat het onder die voorwaarde al kon. Uiteraard kan dit op den duur nog gehardened worden door (op de systemen waar dit beschikbaar is) de authenticatie van die machine via hardware protected private key systemen (bv TPM). Maar aangezien dat geen requirement is, is er compleet niets ...