Filtración de datos de Trello

El alcance verificado comprende 15 111 945 direcciones de correo electrónico únicas, junto con nombres y nombres de usuario de Trello que pudieron asociarse a esas direcciones. Las contraseñas, los números de teléfono, los datos de pago, los mensajes privados, el contenido de los tableros, las tarjetas y los archivos adjuntos no son campos verificados en este registro. El riesgo principal radica en que datos de perfil que, por separado, pueden ser públicos se vincularon de forma masiva con direcciones de correo electrónico que no estaban destinadas a ser públicas. Esta relación puede ayudar a un atacante a confirmar que una dirección tiene una cuenta asociada, crear mensajes más convincentes con un nombre real y un nombre de usuario, e investigar ese mismo identificador en otros sitios. Como el registro no contiene contraseñas, no constituye una divulgación directa de credenciales de acceso. Sin embargo, si una persona reutilizó una contraseña expuesta en otro incidente, la asociación confirmada con una cuenta puede facilitar intentos automatizados de inicio de sesión más específicos.

Los datos se pusieron a la venta alrededor del 16 de enero de 2024 y posteriormente se incorporaron a un catálogo de filtraciones verificadas. Las investigaciones indicaron que el responsable comprobó direcciones de correo electrónico procedentes de recopilaciones de datos anteriores mediante consultas a un recurso de perfiles de Trello accesible públicamente para identificar cuentas válidas. Al consultar una dirección de correo electrónico, el recurso devolvía campos públicos, como el nombre del perfil y el nombre de usuario, lo que permitía asociar de forma masiva direcciones privadas con perfiles públicos. El operador de la plataforma afirmó que no había encontrado pruebas de acceso no autorizado a los sistemas de Trello ni a los perfiles de los usuarios, por lo que el incidente no debe describirse como el robo de una base de datos de cuentas. Tras identificar el uso indebido, se impidió que usuarios y servicios no autenticados solicitaran la información pública de otra persona mediante su dirección de correo electrónico. La clasificación adecuada es enumeración de cuentas y extracción automatizada de datos mediante una API, no un incidente de un proveedor externo ni una filtración de contraseñas.

Las personas que utilizan su nombre real, su identidad laboral o un nombre de usuario fácilmente reconocible pueden estar más expuestas al phishing dirigido. En el caso de las direcciones corporativas, un atacante puede combinar la información sobre la empresa y la asociación con Trello para crear una invitación falsa a un tablero, una notificación de tarea, una solicitud para unirse a un equipo o un mensaje de restablecimiento de contraseña. Reutilizar el mismo nombre de usuario en redes sociales y plataformas para desarrolladores aumenta el riesgo de que se relacionen distintos perfiles. Una coincidencia no demuestra que alguien haya tomado el control de una cuenta, leído un tablero privado o expuesto una contraseña. Para evaluar el riesgo, deben tenerse en cuenta la presencia de la dirección en otras filtraciones, el historial de reutilización de contraseñas, los datos públicos del perfil y los mensajes sospechosos recibidos. Las invitaciones inesperadas a tableros, las solicitudes de espacios de trabajo desconocidos y las alertas de inicio de sesión que no reconozca merecen especial atención.

Primero, revise la configuración de seguridad, las sesiones activas y el estado de la autenticación multifactor de su cuenta de Trello y de la cuenta de Atlassian vinculada. Cierre las sesiones que no reconozca, confirme que los métodos de recuperación le pertenecen y active una clave de acceso o una forma de autenticación resistente al phishing cuando estén disponibles. Aunque en este registro no se ha verificado la presencia de contraseñas, sustituya las contraseñas reutilizadas por una contraseña larga y única para cada cuenta. En lugar de seguir un enlace de una invitación a un tablero o de una advertencia de seguridad recibida por correo electrónico, abra el servicio directamente desde su dirección conocida. Compruebe el dominio del remitente, quién creó la invitación y si la solicitud encaja con el contexto de su equipo. Limite los nombres completos, las biografías o los enlaces que no necesiten seguir siendo públicos y abandone los espacios de trabajo que no utilice. Si su cuenta está administrada por una organización, informe de las invitaciones sospechosas al equipo de seguridad y nunca revele una contraseña ni un código de verificación en un mensaje.

Un gestor de contraseñas que genere una credencial distinta para cada servicio, junto con claves de acceso cuando sean compatibles, evita que una contraseña procedente de otra recopilación se utilice con éxito para acceder a Trello. Como la cuenta principal de correo electrónico es un punto central para la recuperación de otras cuentas, protéjala con autenticación robusta, alertas de inicio de sesión y revisiones de las aplicaciones conectadas. Revise periódicamente la visibilidad de su perfil y gestione la relación entre sus identidades laboral y personal cuando utilice el mismo nombre de usuario en distintas plataformas. Las organizaciones no deben confiar en las invitaciones a herramientas de colaboración solo porque su redacción resulte familiar; sus procesos deben verificar el remitente y el dominio de destino. El inicio de sesión único, el acceso condicional y la revocación centralizada de sesiones sospechosas reducen el riesgo de que alguien tome el control de una cuenta. Este incidente demuestra cómo consultar un identificador privado en una fuente de datos de perfiles públicos puede convertir campos que, por separado, son inocuos en un problema de seguridad a gran escala.

Compruebe su dirección de correo electrónico mediante el campo de búsqueda seguro para saber si aparece en la recopilación de Trello y, si obtiene una coincidencia, dé prioridad a las medidas de seguridad de la cuenta. Un resultado no significa que se haya publicado su contraseña, que se hayan consultado tableros privados ni que alguien haya tomado el control de su cuenta; solo indica que la dirección se vinculó con campos como un nombre y un nombre de usuario. Si obtiene una coincidencia, revise la visibilidad de su perfil, las sesiones activas, las aplicaciones conectadas y los avisos de seguridad recientes. Verifique las invitaciones inesperadas abriendo la aplicación directamente. Ningún resultado puede garantizar que la dirección no haya aparecido en otros incidentes. La supervisión continua, las contraseñas únicas y la autenticación robusta ofrecen una defensa eficaz si esta relación con el perfil se utiliza más adelante para la ingeniería social o para intentar tomar el control de una cuenta.