知名工具Trello被黑客攻击，泄露1500 万用户数据
内容提要
黑客发布了1500万个Trello账户相关的电子邮件地址，通过不安全的REST API收集。数据可用于网络钓鱼攻击和个人身份暴露，凸显了不安全的API成为黑客攻击目标的问题。
延伸解读
API 滥用：数据泄露的隐形通道
Trello 事件并非传统入侵，而是攻击者滥用合法的 REST API 端点。该 API 允许未认证用户通过电子邮件查询账户公开信息，攻击者借此将 5 亿个电子邮件与 Trello 账户关联，构建了 1500 万份用户档案。这凸显了设计不当的 API 可能成为数据泄露的捷径，即使没有系统漏洞，也能通过合法功能聚合非公开信息。
泄露数据的具体风险与用途
泄露的数据包括电子邮件地址和公开账户信息（如全名），但攻击者可将这些信息用于定向网络钓鱼，诱骗用户交出密码等敏感信息。此外，数据还可用于“doxxing”，将电子邮件地址与个人及其别名关联，暴露匿名身份。虽然数据本身多为公开信息，但结合非公开电子邮件后，隐私风险显著增加。
平台应对：平衡安全与功能
Atlassian 在调查后修改了 API，使未认证用户无法通过电子邮件请求其他用户的公开信息，同时保留认证用户通过电子邮件邀请成员的功能。这一调整旨在防止滥用，同时维持“通过电子邮件邀请到公开讨论区”的实用性。平台需持续监控 API 使用，并采取必要措施，以应对不断演变的威胁。
速率限制的局限与历史案例
许多企业试图用速率限制保护 API，但攻击者可通过购买数百个代理服务器轮流查询来绕过。类似事件频发：2021 年 Facebook 因 API 滥用导致 5.33 亿用户数据泄露，2022 年 Twitter 也有数百万用户电话号码和电子邮件地址被获取。这些案例表明，仅靠速率限制不足以防止 API 滥用，需结合更严格的认证和监控。
Q&A
Trello数据泄露的规模有多大？
此次泄露涉及1500万个Trello账户的电子邮件地址。
黑客是如何获取Trello用户数据的？
黑客通过不安全的REST API收集了用户的公共信息和非公开的电子邮件地址。
泄露的数据可能带来哪些风险？
泄露的数据可用于网络钓鱼攻击和个人身份暴露，增加用户的隐私风险。
Trello对此次数据泄露采取了哪些措施？
Trello已对API进行了修改，以防止未经身份验证的用户请求其他用户的公开信息。
不安全的API为何成为黑客攻击的目标？
不安全的API允许黑客将非公开信息与公开资料结合，易于获取用户数据。
历史上有哪些类似的API数据泄露事件？
历史上，黑客曾利用API获取Facebook和Twitter用户的个人信息，造成隐私风险。
