Данные нескольких сотен российских компаний, использовавших бесплатный онлайн-менеджер проектов Trello, оказались в открытом доступе. Среди сотен тысяч утекших досок есть и содержащие конфиденциальную информацию, предупредили аналитики
Данные из досок бесплатного онлайн-менеджера проектов Trello, которые вели российские компании, попали в открытый доступ. Утечку данных нескольких сотен крупных компаний и тысяч предприятий малого и среднего бизнеса обнаружили аналитики Infosecurity a Softline company, пишет «Коммерсантъ».
В компании уточнили, что в России досками Trello пользуется в основном малый и средний бизнес, встречаются и представители крупных организаций, в том числе банков. Гендиректор infosecurity Кирилл Солодовников назвал попадание корпоративных данных в сеть «иллюстрацией утечки, произошедшей не вследствие хакерской атаки, а в результате невнимательности или небрежности сотрудников компании». Организации размещают на досках списки сотрудников и клиентов, договоры, сканы паспортов, документацию, касающуюся участия в тендерах, и разработки продукции, а также учетные данные от корпоративных аккаунтов и пароли от различных сервисов, рассказали в Infosecurity. «Обычно несложно определить, из какой организации утекли сведения. Ее наименование нередко фигурирует либо в названии самой доски, либо в описании задач»,— добавили эксперты.
Аналитики Infosecurity выяснили, что почти миллион публичных досок сервиса Trello в настоящий момент индексируется поисковыми системами, причем тысячи из них содержат конфиденциальную информацию. Так, сейчас по тематическим запросам в поисковых системах находится более 9000 досок с упоминаниями логинов и паролей.
Trello принадлежит австралийскому разработчику программного обеспечения Atlassian, к подобным бесплатным сервисам также относятся Evernote, Wunderlist, XMind, Notion. Данные из досок Trello уже оказывались в открытом доступе, но настолько масштабная утечка случилась впервые, отметили эксперты. В 2017 году через доски Trello удалось найти данные «Ростелекома», Acronis, МТС, об этом сообщало издание Roem, а в 2018 году в публичном доступе оказались данные Uber, писали в блоге krebsonsecurity.
Заместитель руководителя центра исследований и анализа угроз «Лаборатории Касперского» Сергей Новиков отметил, что сервисом пользуют и кибергруппировки для координации своей деятельности. В Infosecurity рассказали о выявлении доски в Trello, которая принадлежала группе мошенников, специализирующей на обмане доверчивых иностранцев по сценарию «русские невесты», когда охота ведется за желающими познакомиться с молодыми девушками из России. Хакеры могут использовать данные из досок, к примеру, для атак на клиентов компаний или взломов корпоративных Instagram-аккаунтов, как осенью 2020 года, добавили в Infosecurity.
Эксперты предупредили, что утечка данных может привести и к наложению штрафов за нарушения закона о персональных данных, ему, например, противоречит хранение сканов паспортов клиентов в публичном и размещенном за рубежом хранилище. С учетом принятых Госдумой в феврале поправок штраф для юридического лица со стороны регуляторов составит от 60 000 рублей до 100 000 рублей. Сергей Новиков из «Лаборатории Касперского» советует компаниям перейти на платные онлайн-менеджеры проектов или не размещать в Trello конфиденциальную корпоративную информацию. В правила по безопасности крупных компаний включены «вполне конкретные указания по приватности в подобных приложениях», добавил ведущий эксперт по информационной безопасности IT-компании «Крок» Александр Черныхов.
Сергей Мингазов
По материалам: “Forbes”
