Утечка данных Trello

Подтверждённый набор включает 15 111 945 уникальных адресов электронной почты, а также имена и имена пользователей Trello, которые можно было связать с этими адресами. Наличие паролей, телефонных номеров, платёжных реквизитов, личных сообщений, содержимого досок, карточек и вложений в этой записи не подтверждено. Основной риск заключается в том, что сведения из профилей, которые по отдельности могут быть общедоступными, массово сопоставили с адресами электронной почты, не предназначенными для публикации. Эта связь может помочь злоумышленнику подтвердить, что с адресом связан аккаунт, составлять более убедительные сообщения с использованием настоящего имени и имени пользователя, а также искать тот же идентификатор на других ресурсах. Поскольку паролей в записи нет, она не представляет собой непосредственную публикацию учётных данных для входа. Однако если пользователь повторно использовал пароль, раскрытый в другом инциденте, подтверждённая связь адреса с аккаунтом может сделать автоматические попытки входа более целенаправленными.

Данные были выставлены на продажу примерно 16 января 2024 года, а позднее добавлены в каталог подтверждённых утечек. Результаты расследований указывали на то, что злоумышленник проверял адреса электронной почты из ранее собранных наборов данных с помощью общедоступного ресурса профилей Trello, чтобы выявить существующие аккаунты. В ответ на запрос по адресу электронной почты ресурс возвращал общедоступные поля, например имя в профиле и имя пользователя. Это позволяло массово связывать непубличные адреса с общедоступными профилями. Оператор платформы заявил, что не обнаружил свидетельств несанкционированного доступа к системам Trello или профилям пользователей, поэтому этот инцидент не следует описывать как кражу базы аккаунтов. После выявления злоупотребления пользователям и сервисам, не прошедшим аутентификацию, запретили запрашивать общедоступную информацию о другом человеке по его адресу электронной почты. Корректная классификация этого события, выявление существующих аккаунтов и массовый сбор данных через API, а не инцидент у стороннего поставщика или утечка паролей.

Люди, использующие настоящее имя, сведения, позволяющие связать их с местом работы, или легко узнаваемое имя пользователя, могут быть более заметными целями для адресного фишинга. В случае корпоративных адресов злоумышленник может использовать сведения о работодателе и связь адреса с Trello, чтобы создать поддельное приглашение на доску, уведомление о задаче, запрос на вступление в команду или сообщение о сбросе пароля. Использование одного и того же имени пользователя в социальных сетях и на платформах для разработчиков повышает риск сопоставления разных профилей. Совпадение не доказывает, что аккаунт был захвачен, содержимое закрытой доски было прочитано или пароль был раскрыт. При оценке риска следует учитывать наличие адреса в других утечках, историю повторного использования паролей, общедоступные сведения профиля и полученные подозрительные сообщения. Особого внимания заслуживают неожиданные приглашения на доски, запросы, связанные с незнакомыми рабочими пространствами, и уведомления о входах, которые вы не узнаёте.

Прежде всего проверьте настройки безопасности, активные сеансы и состояние многофакторной аутентификации в вашем аккаунте Trello и связанном с ним аккаунте Atlassian. Завершите сеансы, которые вы не узнаёте, убедитесь, что средства восстановления доступа находятся под вашим контролем, и включите ключ доступа или устойчивую к фишингу аутентификацию, если они доступны. Хотя наличие паролей здесь не подтверждено, замените повторно используемые пароли длинными уникальными паролями для каждого аккаунта. Вместо перехода по ссылке в приглашении на доску или предупреждении о безопасности, полученном по электронной почте, откройте сервис напрямую по известному вам адресу. Проверьте домен отправителя, создателя приглашения и то, соответствует ли запрос работе вашей команды. Ограничьте публикацию полных имён, биографий и ссылок, которым необязательно оставаться общедоступными, и выйдите из неиспользуемых рабочих пространств. Если аккаунт управляется организацией, сообщайте о подозрительных приглашениях команде безопасности и никогда не передавайте пароль или код подтверждения в сообщениях.

Менеджер паролей, создающий отдельный пароль для каждого сервиса, в сочетании с ключами доступа там, где они поддерживаются, не позволит успешно войти в Trello с паролем из другой подборки данных. Поскольку основной почтовый аккаунт служит центром восстановления доступа, защитите его надёжной аутентификацией, включите уведомления о входе и проверяйте подключённые приложения. Регулярно проверяйте видимость профиля и контролируйте возможность связать ваши рабочие и личные аккаунты, если одно и то же имя пользователя встречается на разных платформах. Организациям не следует доверять приглашениям к совместной работе лишь потому, что их формулировки выглядят знакомо; процедуры должны предусматривать проверку отправителя и домена назначения. Единый вход, условный доступ и централизованное завершение подозрительных сеансов снижают риск захвата аккаунтов. Этот инцидент показывает, как запрос общедоступных данных профиля по непубличному идентификатору может превратить безобидные по отдельности поля в масштабную проблему безопасности.

Проверьте свой адрес электронной почты через защищённое поле поиска, чтобы узнать, присутствует ли он в наборе данных Trello, и при обнаружении совпадения в первую очередь займитесь безопасностью аккаунта. Результат не означает, что ваш пароль был опубликован, закрытые доски просматривались или аккаунт был захвачен; он сообщает лишь о том, что адрес был связан с такими полями, как имя и имя пользователя. После обнаружения совпадения проверьте видимость профиля, активные сеансы, подключённые приложения и недавние уведомления о безопасности. Проверяйте неожиданные приглашения, открывая приложение напрямую. Ни один результат поиска не может гарантировать, что адрес не фигурировал в других инцидентах. Постоянный мониторинг, уникальные пароли и надёжная аутентификация обеспечивают эффективную защиту, если эта связь с профилем впоследствии будет использована для социальной инженерии или попытки захвата аккаунта.