В ходе масштабной утечки данных из сервиса для менеджмента проектов Trello в сеть попала конфиденциальная информация тысяч российских компаний. Теперь в открытом доступе можно найти списки сотрудников и клиентов, договоры, данные корпоративных учетных записей и сканы различных документов. По словам экспертов, слитые данные могут помочь киберпреступникам в организации будущих кибератак. 

В открытом доступе были обнаружены почти миллион «досок» сервиса Trello, некоторые их которых содержат конфиденциальные данные сотен крупных и тысяч небольших российских компаний, сообщаетиздание «Коммерсантъ» со ссылкой на аналитиков Infosecurity a Softline company.

При этом объемы слитой информации продолжают расти. 

Сервис Trello в основном используется для менеджмента различных проектов. Основными пользователями выступают малый и средний бизнес, но иногда сервис используют и крупные компании, в том числе банковские учреждения.

«Обычно несложно определить, из какой организации утекли сведения. Ее наименование нередко фигурирует либо в названии самой доски, либо в описании задач»,— поделились эксперты.

По данным на октябрь 2019 года, этим сервисом пользовалось более 50 млн компаний по всему миру, а в 2017 году администрация Trello утверждала, что ее используют 80% компаний из списка Fortune 500.

На досках сервиса можно разместить списки сотрудников и клиентов, договоры, данные корпоративных учетных записей и сканы различных документов. По заявлению Infosecurity, сейчас в поисковиках при соответствующем запросе можно найти около 9 тыс. досок с логинами и паролями.

Все эти данные оказались в открытом доступе как следствие утечки, однако, по словам, экспертов, утечек такого масштаба еще не происходило. В 2017 году также можно было найти в поиске данные «Ростелекома», Acronis, МТС, а в 2018 году — Uber.

«Это иллюстрация утечки, произошедшей не вследствие хакерской атаки, а в результате невнимательности или небрежности сотрудников компании»,— отмечает гендиректор infosecurity Кирилл Солодовников. 

Слитая в сеть информация может быть полезна для злоумышленников — они могут атаковать клиентов компаний или взломать корпоративные аккаунты в различных соцсетях. Однако есть и более серьезные угрозы.

«Подобная практика ведения бизнеса может вызвать вопросы у регулирующих органов: хранение, например, сканов паспортов клиентов в публичном и размещенном за рубежом хранилище противоречит закону «О персональных данных», — рассказали эксперты Infosecurity.

Руководитель аналитического департамента AMarkets Артем Деев в беседе с «Газетой.Ru» отметил, что рано или поздно такой объем конфиденциальной информации попал бы в сеть, так как хранится в открытом доступе.

«Это все равно, как если бы частное лицо опубликовало данные своего паспорта, СНИЛС, ИНН, а вдобавок еще пароли от страниц в соцсетях. На таких сервисах, которые помогают бизнесу решать различные вопросы по взаимодействию с клиентами, можно найти много информации, которая, в принципе, должна обсуждаться с заказчиками и исполнителями лично при встрече», — поделился эксперт.

По его словам, утечка этих данных дает возможность организовывать атаки на бизнес с целью парализовать производственные процессы или помешать заключению сделок. 

«Но главное последствие – это проблема с безопасностью. Контрагенты могут посчитать, что компании слишком халатно относятся к вопросам защиты персональных и корпоративных данных, и отказаться от сотрудничества, что приведет к прямым убыткам», — отметил Деев.

Однако, как отмечает PR-менеджер ESET в России Михаил Бочаров, никакой утечки данных из Trello не произошло.

Фактически, выложенные корпоративные данные – это просто собранная в одном месте информация, доступная по запросу в Google.

«У досок Trello есть простые настройки конфиденциальности: а) приватная б) командная (рабочее пространство/организация) в) публичная. При выставленной галочке на пункте «в» содержимое доски будет индексироваться в поисковике. Зная, что в той или иной организации пользуются Trello, попробовать найти корпоративную информацию может не только интернет-мошенник, но и конкурент по бизнесу, сыщик, в конце концов, студент, пишущий диплом и нуждающийся в актуальных данных по своей теме», — поделился Бочаров.

По его словам, причины, по которым в базах для хакеров появляются массивы конфиденциальных данных, заключаются в небрежном отношении пользователей к сервисам, где они размещают рабочую документацию, а также в халатности сотрудников, отвечающих за информационную безопасность.