O Dropbox é seguro em 2026? Criptografia, riscos à privacidade e formas mais seguras de compartilhar arquivos confidenciais

Em resumo:

• O Dropbox criptografa os arquivos com AES-256 quando estão armazenados e usa TLS durante a transferência, mas mantém as próprias chaves de criptografia
• Os planos pessoais não oferecem criptografia de ponta a ponta. Pastas de equipe criptografadas estão disponíveis nos planos Business Plus, Advanced e Enterprise, mas precisam ser ativadas
• O Dropbox usa subprocessadores, incluindo o Google (suporte), a Amazon Web Services (infraestrutura) e a OpenAI (determinados recursos de IA). Conectar o ChatGPT ou ativar recursos de IA no Dropbox cria um fluxo separado para o conteúdo dos arquivos
• O Dropbox divulgou publicamente seis incidentes de segurança desde 2011, incluindo falhas de software, um vazamento de credenciais, uma violação envolvendo o Dropbox Sign e uma falha no login integrado com a Lenovo em 2026. Nenhum desses incidentes exigiu a quebra da criptografia AES-256
• O Dropbox é uma empresa sediada nos EUA. Isso significa que ordens judiciais válidas podem permitir o acesso a dados que a empresa consegue descriptografar
• Não é recomendado para arquivos confidenciais de escritórios de advocacia, organizações de saúde, empresas do setor financeiro ou redações jornalísticas. A opção de armazenamento mais segura é usar exclusivamente pastas de equipe com criptografia ativada
• Migrar para o Google Drive não resolve necessariamente a questão da privacidade, já que o modelo padrão de criptografia dos dois serviços é semelhante

O Dropbox tem mais de 700 milhões de usuários registrados porque é simples, sincroniza os arquivos com facilidade e já faz parte da rotina de quem usa vários dispositivos. Mas será que é seguro armazenar informações confidenciais lá?

Na maioria dos planos, a resposta não é tão simples. O Dropbox criptografa os arquivos durante a transferência e enquanto eles estão armazenados. Isso ajuda a impedir que terceiros não autorizados tenham acesso ao conteúdo.

O problema é quem controla as chaves de criptografia. O Dropbox mantém essas chaves na maioria dos planos, o que significa que a própria empresa pode descriptografar os arquivos armazenados em seus servidores.

Um incidente ocorrido em 2026 mostra por que essa diferença é importante. Os invasores não precisaram quebrar a criptografia. Eles exploraram uma falha em uma integração de login e, ao assumir contas sem autenticação de dois fatores (2FA), conseguiram acessar os arquivos que o próprio Dropbox também conseguiria descriptografar.

Para fotos de férias, anotações de aula ou apresentações que você já compartilharia em uma reunião, isso pode não representar uma grande preocupação. Um contrato de cliente, um documento jurídico ou um arquivo-fonte é outra história. Nesse caso, o risco é maior porque o Dropbox mantém as chaves de criptografia, a menos que você tenha acesso a uma pasta de equipe com criptografia de ponta a ponta e a ative.

Neste artigo, vamos explicar como funciona a criptografia do Dropbox, o que acontece com o conteúdo dos seus arquivos, o que os incidentes de segurança anteriores revelam, como o serviço se compara ao Google Drive e ao e-mail e quando pode fazer sentido escolher uma forma diferente de compartilhar arquivos confidenciais.

O que a pergunta “o Dropbox é seguro?” realmente significa

A pergunta parece simples, mas, na prática, envolve três questões diferentes.

1. Um hacker consegue entrar na sua conta?

É aqui que o Dropbox oferece mais proteção. Os arquivos são criptografados com AES-256 quando estão armazenados, enquanto as transferências são protegidas por TLS. Você também pode ativar a autenticação de dois fatores (2FA).

Contra alguém de fora tentando invadir, essas defesas são bem sólidas.

2. O próprio Dropbox consegue ler seus arquivos?

Sim. Nos planos pessoais e nas pastas de equipe padrão, o Dropbox mantém as chaves de criptografia. Isso permite que a empresa descriptografe os arquivos armazenados.

A política de privacidade e a lista de subprocessadores do Dropbox também mencionam o Google, que presta serviços de suporte ao cliente, a Amazon Web Services, usada na infraestrutura, e a OpenAI, envolvida em determinados recursos de IA, como pesquisa e resumo. Isso não significa, porém, que todos os seus arquivos sejam enviados para essas empresas.

Uma ordem judicial, portanto, não precisa “quebrar” a criptografia para que os dados sejam entregues. Se o Dropbox consegue descriptografar um arquivo, a empresa pode fornecer o conteúdo em texto legível quando legalmente obrigada a fazê-lo.

3. Só a pessoa que você escolheu consegue abrir um arquivo compartilhado?

Não exatamente.

Nos planos pagos, você pode proteger um link compartilhado com senha. Isso impede que qualquer pessoa que encontre a URL consiga abrir o arquivo sem a senha. Mas o arquivo continua armazenado nos servidores do Dropbox, onde a empresa pode descriptografá-lo.

Ou seja, uma senha no link é um recurso de controle de acesso, não criptografia de ponta a ponta. O Dropbox também não usa um modelo de conhecimento zero como padrão.

O serviço oferece, no entanto, criptografia de ponta a ponta opcional para determinadas pastas de equipe nos planos Business Plus, Advanced e Enterprise. Quando esse recurso está ativado, o conteúdo só é descriptografado em dispositivos aprovados, e não nos servidores do Dropbox.

Em outras palavras: o Dropbox oferece boas proteções contra alguém que tente acessar sua conta a partir de um dispositivo roubado. Mas, na maioria dos casos, essas proteções não impedem que o próprio provedor, uma autoridade com uma ordem judicial válida ou um parceiro que processe o conteúdo dos arquivos tenha acesso a eles.

Como funciona a criptografia do Dropbox?

O Dropbox criptografa os arquivos com AES-256 quando estão armazenados e usa TLS durante a transferência.

Essa afirmação aparece com frequência nos materiais da empresa e está correta, mas não conta toda a história. Quando você envia um arquivo para o Dropbox, ele é protegido pelo TLS durante a transferência e, depois, recebe uma segunda camada de proteção com AES-256 enquanto fica armazenado nos servidores.

Nos planos pessoais e nas pastas de equipe padrão, o Dropbox mantém as chaves de criptografia. Isso permite que a empresa descriptografe os arquivos quando você visualiza uma prévia, pesquisa um documento, recebe uma solicitação judicial ou usa um recurso que exige acesso ao conteúdo.

Uma forma simples de entender a diferença é imaginar um cofre de banco. O banco mantém uma chave reserva para abrir o cofre. O conteúdo está protegido, mas você não é a única pessoa que pode acessá-lo.

A criptografia de ponta a ponta funciona de outra maneira: você controla a chave, enquanto o serviço armazena apenas os dados criptografados e não consegue acessar o conteúdo.

Em resumo, o Dropbox usa criptografia para proteger seus arquivos, mas, no modelo padrão, essa criptografia não impede que a própria empresa tenha acesso ao conteúdo.

Pastas criptografadas do Dropbox: o que são (e o que não são)

Esse recurso é pago, opcional e está disponível apenas em determinados planos. Por isso, para a maioria das pessoas que pergunta se o Dropbox é seguro, ele sequer faz parte da configuração que estão usando.

Também é importante não confundir uma pasta criptografada com uma senha em um link compartilhado. Quando você protege um link com senha, o arquivo continua acessível ao Dropbox. A senha serve para controlar quem pode abrir aquele link, mas não impede o próprio serviço de acessar o arquivo.

As principais limitações das pastas criptografadas são:

• Estão disponíveis nos planos Business Plus, Advanced e Enterprise, mas não nos planos Basic, Plus ou nos planos pessoais comuns
• A criptografia precisa ser ativada para pastas de equipe específicas. Ela não se aplica automaticamente a toda a conta
• O compartilhamento fora da equipe é mais limitado, e alguns recursos de colaboração deixam de funcionar
• Existe uma chave de recuperação. Se as chaves forem perdidas de forma permanente, os dados também serão perdidos, inclusive o Dropbox não poderá recuperá-los

O Dropbox faz a verificação dos seus arquivos?

Como o Dropbox mantém as chaves de criptografia na maioria dos planos, a empresa pode acessar o conteúdo que você armazena no serviço. É aqui que entra a questão da privacidade.

Mas dizer que o Dropbox “verifica” seus arquivos exige um pouco mais de contexto.

O serviço indexa informações como nomes, tipos e tamanhos dos arquivos para manter recursos como sincronização e histórico de versões funcionando corretamente. Ele também gera prévias dos arquivos e, nos planos mais avançados, usa reconhecimento óptico de caracteres (OCR) para permitir pesquisas dentro de documentos digitalizados.

Em links públicos, os hashes dos arquivos podem ser comparados com materiais protegidos por direitos autorais que já são conhecidos. O whitepaper do Dropbox voltado para empresas também descreve verificações de malware quando um arquivo é compartilhado fora da conta original.

Os recursos de IA funcionam de maneira um pouco diferente.

Se você conectar o ChatGPT ou ativar os recursos de IA do próprio Dropbox, o conteúdo dos seus arquivos poderá ser enviado a um processador externo. Segundo a documentação de ajuda do Dropbox, o ChatGPT só acessa seus arquivos depois que você conecta sua conta e faz uma solicitação.

No caso do ChatGPT para consumidores, as conversas podem ser usadas para treinar modelos de acordo com as políticas da OpenAI. O ChatGPT Team e o Enterprise seguem regras diferentes. A OpenAI também aparece na lista de subprocessadores do Dropbox para determinados recursos de IA baseados em modelos de linguagem. Isso é separado da integração direta com o ChatGPT.

Por isso, é melhor tratar cada recurso de IA como uma decisão de compartilhar o conteúdo dos seus arquivos com outra empresa.

No fim das contas, a questão mais importante não é saber se alguém está olhando para o seu arquivo neste exato momento. É saber quem tem a chave que permite descriptografá-lo.

Quais são os recursos de segurança que o Dropbox oferece?

O Dropbox oferece vários recursos para proteger sua conta contra acessos não autorizados. A autenticação de dois fatores (2FA) está disponível em todas as contas, e o incidente envolvendo a Lenovo em 2026 afetou principalmente contas que não tinham esse recurso ativado.

Nos planos pagos e para equipes, você também pode proteger links compartilhados com senha, definir uma data de expiração e revogar o acesso posteriormente. Alguns planos permitem ainda desativar os downloads.

Os planos Business oferecem recursos adicionais, como limpeza remota, logon único (SSO), aprovação de dispositivos e controles administrativos. O histórico de versões fica disponível por 30 dias nos planos Basic e Plus, 180 dias nos planos Professional e Standard e por um ano nos planos Advanced e Enterprise.

Há também planos elegíveis para HIPAA e contratos de associado comercial (BAAs), que podem ajudar no cumprimento de determinados requisitos de conformidade. Isso, porém, não altera o modelo padrão de criptografia: esses recursos não transformam o Dropbox em um serviço de conhecimento zero.

Como proteger com senha um link compartilhado do Dropbox

Adicionar uma senha ao link compartilhado cria uma camada extra de proteção. Se alguém receber a URL por engano porque ela foi encaminhada, copiada ou exposta em um vazamento, ainda precisará da senha para abrir o arquivo.

Mas essa proteção tem um limite. Ela não impede que o Dropbox acesse o arquivo. No modelo de armazenamento padrão, a empresa continua tendo as chaves necessárias para descriptografar o conteúdo. A senha também não impede o acesso de quem já tem permissão para abrir o arquivo pela própria conta do Dropbox.

O recurso está disponível nos planos Professional, Essentials, Standard, Advanced, Business Plus e Enterprise. Ele não está disponível nos planos Basic e Plus. Como os recursos podem mudar, vale conferir a documentação atual do Dropbox antes de seguir estas etapas.

1. Acesse o dropbox.com e encontre o arquivo ou a pasta
2. Clique em Compartilhar e crie ou abra o link compartilhado
3. Abra as configurações do link
4. Defina uma senha
5. Defina uma data de expiração, se o seu plano permitir
6. Se quiser, desative os downloads
7. Envie a senha por um canal diferente do link, como uma ligação, Signal ou e-mail criptografado. Não envie os dois na mesma conversa do Gmail

A pessoa que já tiver acesso ao arquivo pela própria conta do Dropbox continuará podendo abri-lo. E o Dropbox continuará podendo descriptografar o conteúdo.

Nos planos pessoais, também não existe uma opção nativa para proteger uma pasta com senha de forma que nem o próprio Dropbox consiga acessar seu conteúdo.

O Dropbox já foi hackeado antes?

Sim. E, em quase nenhum desses casos, foi necessário quebrar a criptografia AES-256.

Em 2011, uma atualização de software permitiu que qualquer pessoa acessasse uma conta usando apenas o endereço de e-mail. No ano seguinte, uma invasão expôs 68 milhões de endereços de e-mail e senhas. O vazamento só foi divulgado integralmente em 2016. Em 2017, uma falha no processo de restauração fez com que arquivos excluídos reaparecessem em algumas contas, não porque os sistemas tivessem sido invadidos. Já em 2022, invasores conseguiram acessar 130 repositórios do Dropbox no GitHub depois de aplicar um golpe de phishing contra um funcionário.

O incidente envolvendo o Dropbox Sign em 2024, antigo HelloSign, é um caso diferente e pode ser facilmente confundido com uma invasão do serviço principal de armazenamento. Um invasor conseguiu entrar no ambiente de produção do Sign e roubou nomes e endereços de e-mail. Para alguns usuários, também foram expostos números de telefone, senhas com hash, chaves de API, tokens OAuth e dados de autenticação multifator (MFA).

O Dropbox afirmou que não encontrou evidências de que o conteúdo dos documentos ou dados de pagamento tenham sido roubados. Além disso, a infraestrutura do Sign é separada do sistema principal de armazenamento de arquivos do Dropbox.

Em agosto de 2026, ocorreu outro incidente. Os invasores exploraram uma falha na verificação de e-mail do Lenovo ID para criar uma conta usando o endereço de e-mail de uma vítima. Depois, usaram a integração de login entre a Lenovo e o Dropbox para acessar a conta correspondente sem precisar da senha do Dropbox.

Cerca de 5.000 contas foram afetadas entre 4 e 21 de agosto, e em menos de um terço delas os arquivos chegaram a ser visualizados ou baixados. Na maioria dos casos, a autenticação de dois fatores (2FA) do Dropbox não estava ativada.

O Dropbox encerrou as sessões afetadas e desativou a integração com a Lenovo. O problema, portanto, não estava na criptografia em si, mas em uma falha em uma rota de login considerada confiável. Nas contas que usavam o modelo padrão de armazenamento, os arquivos já podiam ser descriptografados pelo Dropbox. Quando os invasores assumiram essas sessões, passaram a ter o mesmo nível de acesso.

O Dropbox é seguro para arquivos confidenciais?

Para o uso cotidiano. como fotos, anotações de aula ou uma apresentação que já seria compartilhada em uma reunião, o Dropbox oferece uma boa camada de proteção. A criptografia AES-256 e o TLS ajudam a impedir a maioria das tentativas oportunistas de acesso, enquanto a autenticação de dois fatores (2FA) reduz o risco associado a uma senha roubada.

Quando o arquivo é confidencial, porém, a situação muda. Os planos pessoais não oferecem criptografia de ponta a ponta. As pastas criptografadas opcionais estão disponíveis nos planos Business Plus, Advanced e Enterprise, mas precisam ser configuradas individualmente para as pastas que você escolher.

Também é importante considerar que o Dropbox é uma empresa americana. As regras aplicáveis a pedidos legais de acesso continuam valendo independentemente de onde os dados estejam armazenados. Além disso, links compartilhados podem ser encaminhados, e recursos como pré-visualização, pesquisa e ferramentas de IA podem processar o conteúdo dos arquivos quando estão ativados.

O Cost of a Data Breach Report 2025, da IBM, registrou um custo médio global de US$ 4,44 milhões por incidente. Nos casos envolvendo exclusivamente a nuvem pública, a média foi de US$ 4,68 milhões. Esses números são médias do mercado e não representam os custos de incidentes específicos do Dropbox.

Por isso, dizer que “ninguém quebrou a criptografia” não significa que “ninguém conseguiu acessar os arquivos”.

O 2025 Thales Cloud Security Study mostrou que apenas 8% das organizações criptografam 80% ou mais dos dados armazenados na nuvem. Ao mesmo tempo, 54% dos dados armazenados na nuvem são classificados como confidenciais, contra 47% no ano anterior. Esses números se referem a organizações em geral, e não especificamente a usuários do Dropbox.

Os planos para equipes acrescentam recursos como registros de atividade e pastas criptografadas opcionais. Mas essas proteções só se aplicam aos arquivos que estão nas pastas configuradas para usar a criptografia adicional.

Se um vazamento desses arquivos puder resultar em um processo, uma multa ou prejuízo para outra pessoa, é importante considerar uma solução que ofereça criptografia de ponta a ponta. No Dropbox, isso significa usar um plano Business Plus, Advanced ou Enterprise e ativar a criptografia para cada pasta que contenha arquivos confidenciais.

Quem não deve guardar arquivos confidenciais no Dropbox?

Qualquer pessoa ou empresa que tenha uma obrigação legal ou regulatória de manter determinados arquivos privados precisa avaliar com cuidado como esses dados são armazenados.

Advogados e escritórios de advocacia são o exemplo mais claro. O sigilo profissional pressupõe controles rigorosos sobre quem pode acessar os documentos. Como o Dropbox mantém as chaves de criptografia na configuração padrão, a empresa pode descriptografar os arquivos armazenados no serviço.

O ABA 2023 TechReport é frequentemente citado pelo dado de que quase 30% dos escritórios haviam relatado algum incidente de segurança. Esse número se refere a todo o período analisado pelo relatório, e não apenas ao ano em questão. Por isso, simplesmente dizer “ainda não fomos afetados” não substitui uma política de segurança.

Equipes de saúde enfrentam uma questão semelhante. Tanto o GDPR quanto a HIPAA estabelecem requisitos rigorosos para o tratamento de determinados dados. Um Business Associate Agreement (BAA) ajuda a formalizar essas obrigações, mas não transforma os servidores do Dropbox em um ambiente de conhecimento zero. Os prontuários armazenados continuam podendo ser descriptografados pelo provedor.

A mesma lógica vale para:

• Contadores que armazenam documentos fiscais e de auditoria
• Jornalistas que precisam proteger fontes confidenciais
• Equipes de RH que lidam com documentos de identidade e informações salariais
• Pequenas empresas que recebem arquivos confidenciais de clientes

A questão central é o impacto que um acesso indevido teria. Se a exposição desses arquivos puder resultar em um processo, uma multa ou prejuízo para outra pessoa, a criptografia de ponta a ponta passa a ser uma consideração importante. No Dropbox, isso significa usar um plano Business Plus, Advanced ou Enterprise e ativar a criptografia para cada pasta que contenha esse tipo de arquivo.

O Dropbox é mais seguro que o Google Drive?

Não necessariamente e, em termos de privacidade, os dois têm limitações semelhantes.

Tanto o Dropbox quanto o Google Drive usam AES-256 para proteger os arquivos armazenados e TLS durante a transferência. Nenhum dos dois oferece criptografia de ponta a ponta como padrão. Além disso, ambas as empresas estão sediadas nos EUA e, nos planos padrão, mantêm a capacidade de acessar os arquivos armazenados.

Há, porém, diferenças na forma como os serviços funcionam. O principal negócio do Google historicamente é a publicidade, o que está relacionado à forma como a empresa coleta e utiliza dados. O Dropbox não trabalha com publicidade, mas ainda compartilha dados em determinadas situações e pode enviar conteúdo de arquivos a fornecedores de IA quando esses recursos estão ativados.

Mover os mesmos arquivos do Dropbox para o Google Drive, portanto, não elimina a questão de quem controla as chaves de criptografia. Nos planos padrão, os dois serviços usam um modelo em que o provedor mantém capacidade de acesso aos arquivos.

O Dropbox é mais seguro do que o e-mail?

Depende do tipo de e-mail que você usa.

Serviços de e-mail comuns, como Gmail e Outlook, protegem as mensagens durante a transmissão entre servidores e dispositivos, mas não oferecem criptografia de ponta a ponta por padrão. Em geral, o provedor pode acessar o conteúdo armazenado na sua caixa de entrada.

Isso significa que enviar um contrato para o Dropbox e compartilhar o link pelo Gmail ou Outlook cria dois pontos de exposição diferentes: a mensagem de e-mail, que pode ser acessada pelo provedor, e o arquivo armazenado na nuvem, que também pode ser acessado pelo provedor.

Ainda assim, o Dropbox pode ser mais prático do que enviar um arquivo diretamente por e-mail em algumas situações, por exemplo, quando o arquivo é grande, quando várias pessoas precisam acessá-lo continuamente ou quando você quer controlar o acesso usando permissões, datas de expiração e revogação de links. Proteger o link com senha acrescenta uma camada de controle de acesso, mas não equivale à criptografia de ponta a ponta.

Quando o objetivo é manter o conteúdo inacessível ao próprio serviço que o transporta ou armazena, o e-mail com criptografia de ponta a ponta é uma opção mais adequada. O Mailfence oferece criptografia OpenPGP, inclusive para anexos, quando a chave pública do destinatário está disponível.

Se o destinatário não usa OpenPGP, o Mailfence também permite enviar e-mails protegidos por senha para qualquer endereço de e-mail. Você escolhe a senha, compartilha por outro canal e pode definir uma data de expiração.

Um detalhe importante: o ponto mais vulnerável de um compartilhamento “seguro” pelo Dropbox pode acabar sendo o e-mail usado para enviar o link ou a senha. Se esse e-mail não tiver criptografia de ponta a ponta, ele cria uma segunda via de exposição.

Para colaboração contínua, o Dropbox pode ser mais conveniente. Quando a prioridade é impedir que o próprio provedor tenha acesso ao conteúdo, um e-mail devidamente criptografado oferece um modelo de proteção diferente.

Como deixar o Dropbox o mais seguro possível

Se você pretende continuar usando o Dropbox, comece reforçando a segurança da sua conta, e não apenas a forma como compartilha os arquivos.

1. Ative a autenticação de dois fatores (2FA) usando um aplicativo autenticador ou uma chave de segurança. Sempre que possível, evite o SMS. Aproveite para revisar os dispositivos conectados à sua conta e desvincular o Lenovo ou qualquer serviço de SSO que você não use mais.
2. Use uma senha exclusiva e segura, que não tenha aparecido no vazamento de 2012 e que nunca tenha sido usada em outro serviço.
3. Se você tem um plano pago, proteja os links externos com senha e data de expiração. Depois, revogue os links que não são mais necessários.
4. Evite armazenar informações confidenciais em pastas sincronizadas com todos os seus notebooks e celulares.
5. Se você usa os planos Advanced, Business Plus ou Enterprise, mantenha os arquivos realmente confidenciais somente em pastas de equipe com criptografia ativada.
6. Trate os recursos de IA como uma autorização para processar o conteúdo dos seus arquivos. Mantenha esses recursos desativados se você não quiser que outra empresa processe esse conteúdo.
7. Para enviar um arquivo confidencial apenas uma vez, considere não usar o Dropbox. Uma alternativa é criptografar o arquivo no próprio dispositivo antes de fazer o upload.

Criptografar um arquivo zip no seu dispositivo antes de enviá-lo impede que o Dropbox veja o conteúdo. A desvantagem é que você perde a pré-visualização, a pesquisa e a maior parte dos recursos de colaboração.

Para um arquivo que será apenas armazenado, isso pode não fazer muita diferença. Mas para quem usa o Dropbox todos os dias, porém, pode ser bastante inconveniente.

Quais são as melhores alternativas ao Dropbox em termos de privacidade?

Se você procura uma experiência de sincronização parecida com a do Dropbox, mas quer impedir que o provedor tenha acesso aos arquivos armazenados, há algumas alternativas que vale considerar, como Proton Drive, Tresorit, MEGA, Sync.com e a pasta Crypto, do pCloud.

Se a sua necessidade é realizar uma auditoria ou um processo de due diligence, uma data room virtual pode fazer mais sentido. Afinal, muitas vezes o objetivo não é contratar outro serviço com mais espaço de armazenamento. Você só precisa enviar um arquivo para outra pessoa.

Nesse caso, o problema a resolver é o compartilhamento daquele arquivo e não necessariamente a migração de todo o seu armazenamento para outro serviço.

O Mailfence Documents está integrado à mesma conta usada para o e-mail. Assim, você pode fazer upload, organizar e compartilhar arquivos antes de enviar um link ou anexo. O Mailfence também oferece criptografia OpenPGP, desenvolvida para impedir que o próprio serviço tenha acesso a mensagens e anexos devidamente criptografados, além de e-mails protegidos por senha para destinatários que não usam PGP.