Trello adalah alat manajemen proyek yang populer yang terkenal dengan format daftar gaya kanban-nya. Pada Selasa, data pribadi yang terhubung dengan 15.115.516 profil pengguna Trello dibagikan di forum populer untuk para peretas, seperti yang pertama kali diketahui oleh situs web berita keamanan cyber Bleeping Computer. Tampaknya seorang peretas tunggal menemukan kelemahan dalam sistem Trello dan dapat mengekstrak data pribadi pengguna yang sensitif. Meskipun sebagian besar data yang terhubung ke akun Trello adalah informasi publik, tidak semua. Jauh, bagian yang paling mengkhawatirkan dari pelanggaran bagi pengguna Trello adalah data alamat email. Lebih dari 15 juta pengguna Trello sekarang memiliki alamat email pribadi mereka yang terkait dengan profil Trello mereka terbuka untuk publik.Ada kesepakatan Prime Day yang dapat Anda beli sekarang. Produk yang tersedia untuk dibeli di sini melalui tautan afiliasi dipilih oleh tim pemasaran kami. Jika Anda membeli sesuatu melalui tautan di situs kami, Mashable dapat memperoleh komisi afiliasi. Bagaimana ini bisa terjadi? Pelanggaran data Trello dan kebocoran berikutnya dapat ditelusuri kembali ke awal tahun ini. Bleeping Computer pertama kali melihat pada bulan Januari bahwa peretas, dengan nama panggilan “emo,” menjual data Trello di forum peretas sebelum memberikan akses lebih besar ke sana minggu ini. Perusahaan induk Trello, Atlassian, dan “emo” (peretas) sejak itu telah berbagi lebih banyak informasi tentang bagaimana kebocoran ini terjadi. Menurut posting forum oleh peretas, mereka menemukan bahwa “Trello memiliki titik akhir API terbuka yang memungkinkan pengguna yang tidak terotentikasi untuk memetakan alamat email ke akun trello.” Dalam korespondensi dengan Bleeping Computer, peretas lebih lanjut menjelaskan bahwa setelah mereka menemukan kelemahan tersebut, mereka menyusun daftar ratusan juta alamat email dan mengeceknya dengan akun Trello dalam API. Dari sana, “emo” dapat mengaitkan alamat email itu dengan akun Trello dan membuat profil pengguna untuk lebih dari 15 juta akun. Atlassian mengonfirmasi masalah tersebut kepada Bleeping Computer dalam sebuah pernyataan, mengatakan bahwa API REST Trello dimaksudkan untuk memungkinkan pengguna Trello mengundang tamu ke papan publik melalui email. Perusahaan telah memperbarui API Trello untuk mempertahankan fitur ini sambil mencegah penyalahgunaannya oleh pelaku buruk. “Diberikan penyalahgunaan API yang ditemukan dalam penyelidikan Januari 2024 ini, kami membuat perubahan padanya sehingga pengguna/layanan yang tidak terotentikasi tidak dapat meminta informasi publik pengguna lain melalui email,” kata Atlassian dalam pernyataannya. “Pengguna yang terotentikasi masih dapat meminta informasi yang tersedia secara publik di profil pengguna lain menggunakan API ini. Perubahan ini menemukan keseimbangan antara mencegah penyalahgunaan API sambil menjaga fitur ‘undang ke papan publik melalui email’ tetap berfungsi untuk pengguna kami. Kami akan terus memantau penggunaan API dan mengambil tindakan yang diperlukan.” Memperbaiki masalah ini tentu langkah yang tepat. Sayangnya, data yang bocor yang diperoleh melalui metode ini masih ada di luar sana. Dan jika seseorang bertanya-tanya apa yang bisa dilakukan dengan data ini, “emo” sang peretas menjelaskan mengapa kebocoran Trello berguna bagi pelaku buruk dalam posting forum mereka. “Database ini sangat berguna untuk doxing,” tulis emo, yang menjelaskan seseorang dapat dengan mudah mencocokkan alamat email dengan nama lengkap atau alias yang terpasang ke akun Trello menggunakan data yang dicuri. Pengguna Trello harus menyadari bahwa data sensitif ini ada di luar sana.
