En la última semana, se ha revelado una filtración masiva de datos que afecta a 15 millones de usuarios de Trello. Esta filtración, realizada por ciberdelincuente conocido como ‘emo’, expuso correos electrónicos asociados con cuentas de Trello utilizando una API insegura.
Trello es una herramienta de gestión de proyectos en internet propiedad de Atlassian. Es ampliamente utilizada por empresas para organizar datos y tareas en tableros, tarjetas y listas. El método utilizado por ‘emo’ para recopilar estos correos de usuarios de Trello se ha realizado a través de una API REST no segura de la compañía. Esta API permitía a los desarrolladores consultar información pública sobre un perfil en función del ID de Trello, nombre de usuario o dirección de correo electrónico.
Al completar una lista de 500 millones de direcciones de correo electrónico en la API, ‘emo’ pudo determinar si estaban vinculadas a una cuenta de Trello y luego combinó esta información con los datos de cuenta devueltos para crear perfiles de más de 15 millones de usuarios.
Implicaciones de la filtración
La información filtrada incluye direcciones de correo electrónico y datos públicos de la cuenta de Trello, como el nombre completo del usuario. Estos datos pueden ser utilizados en ataques de phishing dirigidos para robar información más sensible, como contraseñas.
Además, ‘emo’ afirmó que los datos también pueden ser utilizados para doxxing, lo que permitiría a los actores malintencionados vincular direcciones de correo electrónico con personas y sus alias.
La respuesta de Atlassian
Atlassian, la empresa matriz de Trello, confirmó que la información fue recopilada a través de una API REST de Trello que fue asegurada en enero. La API permitía a los usuarios invitar a miembros o invitados a sus tableros públicos por dirección de correo electrónico. Sin embargo, debido al abuso de la API descubierto en la investigación, se realizaron cambios para que los usuarios no autenticados no puedan solicitar información pública de otro usuario por correo electrónico.
Esta medida busca equilibrar la prevención del abuso de la API y mantener la funcionalidad de «invitar a un tablero público por correo electrónico» para los usuarios. Atlassian también se comprometió a seguir monitoreando el uso de la API y tomar las acciones necesarias para proteger la privacidad y seguridad de los usuarios.
El problema de las APIs inseguras
Las APIs inseguras se han convertido en un objetivo popular para los ciberdelincuentes, quienes las explotan para combinar información no pública, como direcciones de correo electrónico y números de teléfono, con perfiles públicos. En 2021, actores de amenazas abusaron de una API para vincular números de teléfono a cuentas de Facebook, creando perfiles para 533 millones de usuarios. En 2022, Twitter sufrió una brecha similar cuando actores de amenazas abusaron de una API no segura para vincular números de teléfono y direcciones de correo electrónico a millones de usuarios.
Estas brechas demuestran que las APIs son un punto débil crítico en la infraestructura de muchas organizaciones. Aunque algunos intentan asegurar las APIs utilizando limitaciones de velocidad, los actores de amenazas pueden evadir estas medidas comprando cientos de servidores proxy y rotando las conexiones para consultar constantemente la API, haciendo que las limitaciones de velocidad sean inútiles.
Medidas de protección y prevención
Para protegerse de futuras filtraciones de datos a través de APIs inseguras, las organizaciones deben implementar medidas de seguridad más fuertes entre las que se incluyen:
- Autenticación de API: Utilizar claves API para autenticar solicitudes y asegurar que solo usuarios autorizados puedan acceder a datos sensibles.
- Cifrado de datos: Asegurar que todos los datos transmitidos a través de la API estén cifrados para prevenir la interceptación por actores malintencionados.
- Monitoreo y auditoría: Implementar sistemas de monitoreo y auditoría para detectar y responder rápidamente a cualquier actividad sospechosa o no autorizada en la API.
- Limitaciones de tasa inteligentes: Utilizar limitaciones de tasa basadas en comportamiento que puedan identificar y bloquear patrones de uso anormales, como un gran número de solicitudes en un corto período de tiempo desde múltiples direcciones IP.
