Een onderzoeker die een document in zijn Dropbox-account plaatste stond vreemd te kijken toen het bestand "naar huis belde", wat inhield dat het door Dropbox was geopend. Dat stelt "Vintsurf" van WNC InfoSec, een groep Amerikaanse security-professionals en onderzoekers.

De onderzoeker gebruikte HoneyDocs, een webapplicatie die documenten genereert die naar huis kunnen bellen. Dit wordt gedaan middels een uniek ingebed GET request, dat wordt geïnitieerd zodra het document wordt geopend. Vintsurf uploadde een wachtwoorddocument naar Dropbox en kreeg 10 minuten later een bericht terug dat het document was geopend.

Previewfunctie

Een herhaling van de test met hetzelfde document leverde geen meldingen op. Daarnaast gebeurde het alleen bij .doc-bestanden. Verder onderzoek wees uit dat de documenten met LibreOffice waren geopend. "Nu ben ik benieuwd of dit nog steeds een geautomatiseerd proces is of dat er menselijke interactie bij betrokken is", vraagt de onderzoeker zich af.

Het lijkt er echter op dat de onderzoeker tegen de previewfunctie van Dropbox is aangelopen. Begin dit jaar liet de populaire opslagdienst weten dat het previews van documenten op het web zou gaan ondersteunen. In plaats van het hele document te downloaden en openen, kunnen gebruikers via de browser direct een preview bekijken.