Trello

Mauvaise configuration et fuite de données sur Trello

Le portail Trello est un excellent outil qui permet de créer des espaces collaboratifs privés et protégés. Sauf que si vous ne configurez pas l’outil, vos secrets finiront en accès libre sur le web.

Trouver des mots de passe, des mails, des informations sensibles comme la présence de bugs dans un site web ou encore des comptes de messageries, de media sociaux est devenu un jeu d’enfant sur le portail Trello. L’entreprise alertée, même si le problème vient, en priorité, de ses utilisateurs.

Trello est gratuit, c’est un espace collaboratif qui permet, à plusieurs personnes, de parler d’un même sujet. Trello vous permet de voir votre projet dans son ensemble en un clin d’œil. Vous êtes sur la création d’un application ? L’équipe peut échanger sur ce sujet dans le même espace Trello. Vous préparez une réunion, une soirée, même possibilité. Sauf que, si vous avez mal configuré votre espace, Google va vous aspirer les informations, vos données, … en quelques secondes. Mieux qu’Asa Akira, Nikki Darling et Jiz Lee réunies.

Mots de passe, mails et petits secrets !

Sur Trello, vos données sont confidentielles et sécurisées. C’est l’explication de l’outil. « Vous exercez un contrôle absolu sur les personnes qui peuvent consulter vos tableaux. Toutes les données se diffusent en une connexion SSL/HTTPS sécurisée. Nous gardons des sauvegardes chiffrées et hors site de vos données en cas de catastrophe. » Chouette, blindé de chez blindé alors ? Malheureusement non. En quelques clics de souris, Google est capable de vous fournir le contenu de centaines de Trello non sécurisés. Des espaces restés en public alors qu’ils devraient être en mode sécurisés/privés.

Mots de passe, mails... interceptés par Google !

Mots de passe, mails… interceptés par Google !

Bref, des mots de passe, des mails, des adresses, des projets à la porté du premier malveillant qui passe ! Cette possibilité de fuite ne date pas d’hier. Elle avait même déjà connue une alerte signée Kushagra Pathak, en avril et mai 2018. A première vue, c’est « pros » du web ont un problème d’écoute !

Les Trello « fuiteurs » concernant des entreprises Françaises, privées et étatiques, ont été alertées par un Protocole ZATAZ. (Merci à MFG)

Ne pas être piégé par ce genre fuite ? Passez par le Service Veille de ZATAZ. En savoir plus.

Au sujet de l'auteur
Damien Bancal - Fondateur de ZATAZ.COM / DataSecurityBreach.fr Travaille sur les sujets High-tech/Cybercriminalité/Cybersécurité depuis 1989. Gendarme réserviste - Lieutenant-Colonel (RC) ComCyberGend. Fondateur du Service Veille ZATAZ : https://www.veillezataz.com En savoir plus : https://www.damienbancal.fr

Articles connexes

  1. Montus Reply

    Bonjour,

    Du coup, quel est le moyen pour éviter de retrouver ses secret sur les recherches Google ?

    Merci

    • Damien Bancal Reply

      Bonjour,
      Vérifier la configuration des outils utilisés. Ils ont des possibilités de mettre en « privé ».

      • name Reply

        En plus de mettre en privé, il faut bien sûr modifier les « mots de passe » qui ont été exposés publiquement.

  2. Yougow Reply

    En effet j’avais déjà alerté l’anssi concernant un trello qui contenait des données assez sensible.. résultat le trello est resté en ligne 3-4mois avant d’être retiré..
    À voir si WebArchive ne garde pas en cache les pages aussi

  3. Pingback: ZATAZ Rétrospective 2018 : le web, plus troué qu'un gruyère ? - ZATAZ

Répondre à Yougow Annuler la réponse

*

Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.