15 milioni di email associate ad account Trello sono ora disponibili nel dark web ad un prezzo irrisorio

L'incidente di sicurezza che lo scorso mese di gennaio ha visto protagonista Trello, la piattaforma di collaborazione aziendale e gestione progetti di proprietà di Atlassian, si arricchisce di un nuovo capitolo: gli oltre 15 milioni di indirizzi email trafugati sfruttando un'API non protetta sono ora disponibili su di un forum della comunità hacker ad un prezzo irrisorio.

Facciamo un piccolo passo indietro: a gennaio un hacker noto come "emo" aveva utilizzato una funzione dell'API REST non protetta che gli aveva permesso di raccogliere 15 milioni di indirizzi email legati ad altrettanti account Trello. Si trattava, come avevamo spiegato allora, di indirizzi disponibili pubblicamente, ma che tramite l'opportuno sfruttamento dell'API non protetta, l'hacker aveva potuto collegare ad account Trello esistenti. L'API è stata poi resa sicura da Atlassian una volta scoperto il problema. 

Allora emo aveva messo in vendita i singoli profili, ma a 6 mesi di distanza l'hacker ha deciso di rendere disponibile l'intero elenco di email e account per un controvalore di otto crediti del sito Breached, corrispondenti a 2,32 dollari.

Per quanto gli indirizzi fossero pubblici, ciò che sarebbe dovuto restare privato era l'associazione email-account Trello, nota solo ai legittmi titolari degli account. La combinazione tra informazioni pubbliche e private rappresenta lo scenario ideale per l'orchestrazione di campagne di phishing mirate, con messaggi che appaiono più credibili e personalizzati, sfruttando le informazioni pubbliche degli account Trello insieme agli indirizzi email privati.

Non è la prima volta che API non protette vengono sfruttate da malintenzionati per riuscire ad associare informazioni pubbliche e dettagli privati: nel corso del 2021, in uno scherma molto simile, un'API è stata utilizzata per creare profili di 533 milioni di utenti Facebook, collegando numeri di telefono agli account, mentre nel 2022 anche Twitter è stata vittima di un incidente di sicurezza quando un attore di minaccia ha abusato di un'API non protetta per associare numeri di telefono e indirizzi email a milioni di account utente.