Se você usa o Trello, preste atenção: sua conta pode ter vazado online

Informações de contas públicas de mais de 15 milhões de usuários do Trello vazaram on-line depois que um hacker conseguiu invadir as contas e as expôs em fórum de criminosos digitais.

Em janeiro de 2024, um cibercriminoso com o pseudônimo “emo” disse ter coletado 15.115.516 endereços de e-mail usados ​​para registrar contas do Trello, alimentando mais de 500 milhões de e-mails em API insegura, para ver quais foram usados ​​para uma conta na plataforma.

Além do endereço de e-mail, o hacker obteve informações públicas das contas do Trello das pessoas, bem como nomes completos. Meses depois, o mesmo hacker estaria vendendo o banco de dados que ele roubou em um fórum de hackers, aponta o BleepingComputer.

“O Trello tinha um endpoint de API aberto que permite que qualquer usuário não autenticado mapeie um endereço de e-mail para uma conta do Trello”, explicou o cibercriminoso na postagem do fórum. “Originalmente, eu iria alimentar apenas os e-mails de endpoint dos bancos de dados ‘com’ (OGU, RF, Breached, etc.), mas decidi continuar com os e-mails até ficar entediado”, completou.

Leia mais:

• Como criar senha forte e segura [com exemplos]
• Como funcionam os gerenciadores de senha?
• Pesquisador identifica falhas graves no Kaspersky Password Manager

Inicialmente, o Trello negou ter sido violado e disse que o hacker construiu o banco de dados a partir de informações públicas e coletadas. Posteriormente, confirmou que o incidente resultou de API não segura.

A empresa explicou que a API tinha como objetivo permitir que os usuários do Trello convidassem pessoas para fóruns públicos por e-mail. A empresa atualizou essa API para preservar esse recurso e, ao mesmo tempo, evitar seu uso indevido por malfeitores.

Como os dados roubados podem ser usados de maneira prejudicial?

• As informações roubadas ainda podem ser usadas para criar e-mails de phishing bastante convincentes;
• Isso pode levar a comprometimentos mais destrutivos, como roubo de senhas, implantação de malware e outras táticas prejudiciais;
• APIs inseguras tornaram-se alvos populares para agentes de ameaças, que abusam delas para combinar informações não-públicas, como endereços de e-mail e números de telefone, com perfis públicos.