Fuite de données chez Trello

Le périmètre vérifié comprend 15 111 945 adresses e-mail uniques, ainsi que des noms et des noms d’utilisateur Trello pouvant être associés à ces adresses. La présence de mots de passe, de numéros de téléphone, de données de paiement, de messages privés, de contenus de tableaux, de cartes et de pièces jointes n’est pas vérifiée dans cette fiche. Le principal risque tient au fait que des informations de profil, qui peuvent être publiques prises isolément, ont été associées en masse à des adresses e-mail qui n’étaient pas destinées à être publiques. Ce lien peut aider un attaquant à confirmer qu’une adresse correspond à un compte, à créer des messages plus convaincants en utilisant un nom et un nom d’utilisateur réels, et à rechercher ce même identifiant ailleurs. Puisqu’aucun mot de passe n’y figure, il ne s’agit pas d’une divulgation directe d’identifiants de connexion. Toutefois, si un utilisateur a réutilisé un mot de passe exposé lors d’un autre incident, la confirmation du lien entre son adresse et un compte peut permettre de mieux cibler des tentatives de connexion automatisées.

Les données ont été proposées à la vente vers le 16 janvier 2024, puis ajoutées à un catalogue de violations de données vérifiées. Les enquêtes ont indiqué que l’auteur avait testé des adresses e-mail provenant de collectes de données antérieures auprès d’une ressource de profils Trello accessible publiquement, afin d’identifier les comptes valides. Lors d’une requête portant sur une adresse e-mail, cette ressource renvoyait des champs publics, tels qu’un nom de profil et un nom d’utilisateur, permettant d’associer en masse des adresses privées à des profils publics. L’exploitant de la plateforme a déclaré n’avoir trouvé aucune preuve d’accès non autorisé aux systèmes Trello ou aux profils des utilisateurs; l’événement ne doit donc pas être décrit comme le vol d’une base de données de comptes. Après l’identification de cet usage abusif, les utilisateurs et les services non authentifiés ont été empêchés de demander les informations publiques d’une autre personne à partir de son adresse e-mail. La qualification appropriée est celle d’une énumération de comptes et d’une collecte automatisée de données via une API, et non d’un incident chez un prestataire tiers ou d’une fuite de mots de passe.

Les personnes qui utilisent leur vrai nom, leur identité professionnelle ou un nom d’utilisateur facilement reconnaissable peuvent être davantage exposées à l’hameçonnage ciblé. Dans le cas d’une adresse professionnelle, un attaquant peut combiner l’identité de l’employeur et le lien avec Trello pour créer une fausse invitation à un tableau, une notification de tâche, une demande d’adhésion à une équipe ou un message de réinitialisation de mot de passe. La réutilisation du même nom d’utilisateur sur les réseaux sociaux et les plateformes de développement augmente le risque de rapprochement entre profils. Une correspondance ne prouve pas qu’un compte a été piraté, qu’un tableau privé a été consulté ou qu’un mot de passe a été exposé. Le risque doit être évalué en tenant compte de la présence de l’adresse dans d’autres violations de données, de l’historique de réutilisation des mots de passe, des informations publiques du profil et des messages suspects reçus. Les invitations inattendues à des tableaux, les demandes liées à des espaces de travail inconnus et les alertes de connexion inhabituelles méritent une attention particulière.

Commencez par examiner les paramètres de sécurité, les sessions actives et l’état de l’authentification multifacteur de votre compte Trello et du compte Atlassian qui y est associé. Fermez les sessions que vous ne reconnaissez pas, vérifiez que vous contrôlez les moyens de récupération et activez une clé d’accès ou une authentification résistante à l’hameçonnage lorsque ces options sont disponibles. Bien qu’aucun mot de passe ne figure parmi les données vérifiées ici, remplacez les mots de passe réutilisés par un mot de passe long et unique pour chaque compte. Plutôt que de suivre un lien dans une invitation à un tableau ou un avertissement de sécurité reçu par e-mail, ouvrez directement le service à son adresse habituelle. Vérifiez le domaine de l’expéditeur, l’auteur de l’invitation et la cohérence de la demande avec le contexte de votre équipe. Limitez l’exposition des noms complets, des biographies ou des liens qui n’ont pas besoin de rester publics, et quittez les espaces de travail inutilisés. Si votre compte est géré par votre organisation, signalez les invitations suspectes à l’équipe de sécurité et ne communiquez jamais de mot de passe ni de code de vérification dans un message.

Un gestionnaire de mots de passe qui génère un mot de passe distinct pour chaque service, associé à des clés d’accès lorsque celles-ci sont prises en charge, empêche qu’un mot de passe provenant d’une autre collecte soit utilisé avec succès pour se connecter à Trello. Votre compte de messagerie principal étant au cœur de la récupération de vos comptes, protégez-le par une authentification forte, des alertes de connexion et un examen des applications connectées. Vérifiez régulièrement la visibilité de votre profil et maîtrisez le lien entre vos identités professionnelle et personnelle lorsque le même nom d’utilisateur apparaît sur plusieurs plateformes. Les organisations ne doivent pas faire confiance aux invitations à collaborer au seul motif que leur formulation semble familière; leurs procédures doivent prévoir la vérification de l’expéditeur et du domaine de destination. L’authentification unique, l’accès conditionnel et la révocation centralisée des sessions suspectes réduisent le risque de prise de contrôle d’un compte. Cet événement montre comment l’utilisation d’un identifiant privé pour interroger des données de profil publiques peut transformer des champs individuellement anodins en un problème de sécurité à grande échelle.

Vérifiez votre adresse e-mail dans le champ de recherche sécurisé pour savoir si elle figure dans la collecte Trello et donnez la priorité aux mesures de sécurité de vos comptes si une correspondance est trouvée. Un résultat ne signifie pas que votre mot de passe a été publié, que des tableaux privés ont été consultés ou que votre compte a été piraté; il indique uniquement que l’adresse a été associée à des champs tels qu’un nom et un nom d’utilisateur. Si une correspondance est trouvée, examinez la visibilité de votre profil, les sessions actives, les applications connectées et les notifications de sécurité récentes. Vérifiez les invitations inattendues en ouvrant directement l’application. Aucun résultat ne peut garantir que l’adresse était absente de tous les autres incidents. Un suivi continu, des mots de passe uniques et une authentification forte offrent une protection efficace si ce lien entre l’adresse et le profil est ensuite utilisé à des fins d’ingénierie sociale ou pour tenter de prendre le contrôle d’un compte.