Gazeta do Leste - O Jornal que virou Portal.

Compartilhe:

Informações de contas públicas de mais de 15 milhões de usuários do Trello vazaram on-line depois que um hacker conseguiu invadir as contas e as expôs em fórum de criminosos digitais.

Em janeiro de 2024, um cibercriminoso com o pseudônimo “emo” disse ter coletado 15.115.516 endereços de e-mail usados para registrar contas do Trello, alimentando mais de 500 milhões de e-mails em API insegura, para ver quais foram usados para uma conta na plataforma.

Além do endereço de e-mail, o hacker obteve informações públicas das contas do Trello das pessoas, bem como nomes completos. Meses depois, o mesmo hacker estaria vendendo o banco de dados que ele roubou em um fórum de hackers, aponta o BleepingComputer.

“O Trello tinha um endpoint de API aberto que permite que qualquer usuário não autenticado mapeie um endereço de e-mail para uma conta do Trello”, explicou o cibercriminoso na postagem do fórum. “Originalmente, eu iria alimentar apenas os e-mails de endpoint dos bancos de dados ‘com’ (OGU, RF, Breached, etc.), mas decidi continuar com os e-mails até ficar entediado”, completou.

Leia mais:

Como criar senha forte e segura [com exemplos]
Como funcionam os gerenciadores de senha?
Pesquisador identifica falhas graves no Kaspersky Password Manager

Cibercriminoso conseguiu roubar banco de dados extenso em invadir API do Trello (Imagem: Sergey Nivens/Shutterstock)

Inicialmente, o Trello negou ter sido violado e disse que o hacker construiu o banco de dados a partir de informações públicas e coletadas. Posteriormente, confirmou que o incidente resultou de API não segura.

A empresa explicou que a API tinha como objetivo permitir que os usuários do Trello convidassem pessoas para fóruns públicos por e-mail. A empresa atualizou essa API para preservar esse recurso e, ao mesmo tempo, evitar seu uso indevido por malfeitores.

Como os dados roubados podem ser usados de maneira prejudicial?

As informações roubadas ainda podem ser usadas para criar e-mails de phishing bastante convincentes;
Isso pode levar a comprometimentos mais destrutivos, como roubo de senhas, implantação de malware e outras táticas prejudiciais;
APIs inseguras tornaram-se alvos populares para agentes de ameaças, que abusam delas para combinar informações não-públicas, como endereços de e-mail e números de telefone, com perfis públicos.