Datenleck bei Trello: 15 Millionen E-Mail-Adressen betroffen

Die betroffenen Daten umfassen E-Mail-Adressen, die mit den Namen und Profilnamen der Nutzer verknüpft sind. Der Zugang zu diesen Informationen wurde über eine öffentliche REST-API ermöglicht, die es Nutzern erlaubt, andere Mitglieder oder Gäste per E-Mail zu ihren öffentlichen Boards einzuladen.

Die Angreifer nutzten die E-Mail-Adressen, um weitere Informationen wie die Namen der Trello-Nutzer zu erlangen und diese zu verknüpfen. Die Daten wurden in einem Untergrundforum für 2,32 US-Dollar angeboten, von demselben Account, der auch Daten der Familien-Tracking-App Life360 veröffentlicht hatte.

Atlassian hat inzwischen Maßnahmen ergriffen, um den Zugang zu den Daten zu beschränken. Wie das Unternehmen gegenüber Bleeping Computer mitteilte, können nun nur noch authentifizierte Nutzer über die API Informationen abrufen, die im Profil eines anderen Nutzers öffentlich zugänglich sind. Nicht authentifizierte Nutzer oder Dienste können diese Informationen nicht mehr per E-Mail anfordern. Atlassian betonte, dass die Nutzung der API weiterhin überwacht und alle notwendigen Maßnahmen ergriffen werden, um die Sicherheit zu gewährleisten. Nutzer haben weiterhin die Möglichkeit, andere per E-Mail zu einem öffentlichen Board einzuladen.

Die kompromittierten Daten könnten von böswilligen Akteuren für gezielte Phishing- oder Credential-Stuffing-Angriffe genutzt werden, um Passwörter zu erlangen oder auf weitere Dienste zuzugreifen. Nutzer können auf der Website "Have I Been Pwned" überprüfen, ob ihre Zugangsdaten betroffen sind. Das Projekt "Have I Been Pwned" hatte die Trello-Daten bereits im Januar in seine Datenbank aufgenommen.

Atlassian rät den Nutzern, wachsam zu bleiben und ihre Sicherheitsvorkehrungen zu überprüfen, um sich vor möglichen Angriffen zu schützen.

• Have I Been Pwned