Trello, Ocak 2024’te yaşanan bir veri ihlali sonucunda 15 milyondan fazla kullanıcı hesabının bilgileri sızdırıldı. Bir tehdit aktörü, Trello’nun güvenli olmayan API’sini kullanarak milyonlarca e-posta adresi ve kullanıcının halka açık bilgilerini ele geçirdi. Bu büyük veri sızıntısı, kişisel bilgilerin neredeyse bedavaya satılmasıyla sonuçlandı ve güvenlik endişelerini artırdı.
Trello sızıntısının detayları
Ocak 2024’te, ’emo’ takma adlı bir tehdit aktörü, Trello hesapları için kullanılan 15,115,516 e-posta adresini topladığını iddia etti. Bu kişisel bilgileri toplamak için 500 milyondan fazla e-posta adresini güvenli olmayan bir API’ye besledi. Elde edilen bilgiler arasında e-posta adresleri, kullanıcıların halka açık Trello hesap bilgileri ve tam isimler yer aldı. Yaklaşık altı ay sonra, aynı tehdit aktörü bu veritabanını Breached adlı bir hack forumunda sadece 8 site kredisi karşılığında (yaklaşık 2,32 dolar) satmaya başladı.
Trello başlangıçta bir ihlalin olmadığını iddia etti ve hacker’ın veritabanını halka açık ve kazınan bilgilerden oluşturduğunu söyledi. Ancak daha sonra, olayın güvenli olmayan bir API’den kaynaklandığını kabul etti. Trello, REST API’si sayesinde kullanıcıların e-posta adresleri aracılığıyla halka açık bilgilerle davet edilebildiğini belirtti.
Ancak bu API’nin kötüye kullanılması sonucunda, doğrulanmamış kullanıcıların diğer kullanıcıların halka açık bilgilerini talep etmesini engelleyecek bir değişiklik yapıldı. Artık sadece doğrulanmış kullanıcılar, başka bir kullanıcının halka açık profil bilgilerini bu API aracılığıyla talep edebilecek.
Online PDF dönüştürücü kullananlar, dikkat! Binlerce kullanıcı belgesi sızdırıldı!
Bu tür halka açık bilgilerin toplanması ilk bakışta tehlikeli görünmese de bu bilgiler ikna edici phishing e-postaları oluşturmak için kullanılabilir. Bu tür saldırılar, şifre hırsızlığı, kötü amaçlı yazılım dağıtımı ve daha birçok yıkıcı güvenlik ihlaline yol açabilir. Trello, genellikle işletmeler tarafından kullanılan bir proje yönetim platformudur ve kullanıcıların görevleri sütunlar veya kartlar halinde düzenlemelerine olanak tanıyor. Platformun 40 milyondan fazla kullanıcısı olduğu iddia ediliyor.
