Indirizzi e-mail di 15 milioni di utenti Trello venduti su forum hacking

Gli indirizzi e-mail di circa 15 milioni di utenti Trello, strumento per la gestione di attività collaborative, sono apparsi su un forum del Dark Web.

Secondo alcune voci che circolano online, questi sarebbero frutto di un attacco hacker che ha colpito la piattaforma a gennaio 2024, nonostante Atlassian (società proprietaria di Trello) abbia inizialmente negato tale fatto. Nonostante ciò, con il passare dei mesi la società ha fatto dietrofront, confermando come i dati di diversi milioni di utenti siano apparsi su forum di hacking.

A quanto pare l’attacco è stato sferrato utilizzando un’API REST non sicura, attraverso cui i cybercriminali hanno ottenuto accesso al vasto database. L’API REST è basata sul principio di progettazione REST, ovvero ideata per funzionare in sistemi distribuiti, che permette dunque di accedere a informazioni pubbliche senza passare attraverso Trello o chiavi di autenticazione API.

L’autore della minaccia, che a quanto pare si fa chiamare con il nickname emo, ha effettuato una richiesta inserendo un elenco casuale di 500 milioni di indirizzi e-mail tramite la suddetta API. Da questo sistema di filtro, sono risultati 15 milioni di profili effettivamente esistenti.

Trello e il furto dati di gennaio 2024: ecco la dichiarazione ufficiale di Atlassian

A rendere quanto avvenuto ancora più surreale è un post, apparso nelle scorse ore sul forum di hacking noto come Breach Forums. Qui, l’intero elenco di email è stato venduto per appena 2,32 dollari. Ciò risulta ancora più sorprendente in virtù del fatto che il database in vendita è costituito da 21,1 GB di dati. Nonostante ciò non va sottovalutata la portata di questo caso. I dati venduti, infatti, potrebbero essere facilmente utilizzati per attacchi phishing mirati.

Atlassian, infine, ha voluto commentare quanto accaduto con una dichiarazione ufficiale “L’API REST di Trello permette agli utenti di invitare membri e ospiti nei loro forum pubblici tramite indirizzo di posta elettronica. Dopo che un’indagine nel gennaio 2024 ha individuato un abuso dell’API, abbiamo apportato modifiche per impedire a utenti o servizi non autorizzati di richiedere dati pubblici di altri utenti tramite indirizzo email. Tale modifica impedisce l’uso improprio dell’API consentendo agli utenti di continuare a utilizzare la possibilità di invitare altri nei forum pubblici tramite e-mail“.