Κατά τη διάρκεια της εορταστικής περιόδου, η πλατφόρμα Slack αντιμετώπισε ένα ατυχές πρόβλημα ασφαλείας που επηρέασε αρκετά από τα ιδιωτικά της αποθετήρια κώδικα στο GitHub.
Η εφαρμογή IM που ανήκει στην Salesforce έχει γίνει διεθνές φαινόμενο, με πάνω από 18 εκατομμύρια χρήστες παγκοσμίως, τόσο σε εταιρικές όσο και σε διαδικτυακές κοινότητες.
Δείτε επίσης: Νέο Linux malware εγκαθιστά cryptominers, DDoS bots
Τα δεδομένα των πελατών παραμένουν ασφαλή!
Στις 31 Δεκεμβρίου 2022, το Slack δημοσίευσε μια ανησυχητική ειδοποίηση για περιστατικό ασφαλείας για να προειδοποιήσει το κοινό για ένα πιθανό πρόβλημα.
Οι χάκερ κατάφεραν να αποκτήσουν παράνομη πρόσβαση σε ορισμένα από τα αποθετήρια GitHub του Slack λόγω της κλοπής ενός “περιορισμένου” αριθμού tokens των εργαζομένων.
Παρά την εισβολή μερικών ιδιωτικών αποθετηρίων κώδικα, η κύρια βάση κώδικα και τα δεδομένα των πελατών του Slack παραμένουν ασφαλή, όπως ανακοίνωσε η εταιρεία.
Την παραμονή της Πρωτοχρονιάς εκδόθηκε η ακόλουθη ανακοίνωση:
Στις 29 Δεκεμβρίου 2022, λάβαμε νέα για κακόβουλη δραστηριότητα στο λογαριασμό μας στο GitHub. Μετά από ενδελεχή έρευνα, αποδείχθηκε ότι είχαν ληφθεί αρκετά tokens υπαλλήλων του Slack και είχαν χρησιμοποιηθεί παράνομα για πρόσβαση σε ένα εξωτερικό αποθετήριο GitHub. Η έρευνά μας έδειξε περαιτέρω ότι ο απειλητικός παράγοντας κατέβασε τα ιδιωτικά αποθετήρια κώδικα δύο ημέρες πριν – ευτυχώς όμως κανένα δεν περιείχε πληροφορίες πελατών ή μέσα για την απόκτηση τέτοιων δεδομένων ούτε περιλάμβανε κάποια από τις κύριες πηγές κωδικοποίησης του Slack!
Δείτε επίσης: Η Zoho προτρέπει τους admins να διορθώσουν άμεσα ένα ManageEngine bug
Το Slack έχει μπλοκάρει τα κλεμμένα tokens και επί του παρόντος εξετάζει τις πιθανές επιπτώσεις που μπορεί να έχει στους πελάτες του.
Η Slack δεν έχει δει ακόμη κανένα στοιχείο παραβίασης των ευαίσθητων περιοχών της, συμπεριλαμβανομένης της παραγωγής, ωστόσο, σε ένδειξη προσοχής και για πρόσθετα μέτρα ασφαλείας, η Slack άλλαξε τα απαραίτητα μυστικά.
Σύμφωνα με την ομάδα ασφαλείας του Slack, η έρευνά τους δεν εντόπισε κάποια συγκεκριμένη ευπάθεια η οποία να ευθύνεται για αυτή την παραβίαση. Εξακολουθούν να ερευνούν ενεργά και να παρακολουθούν τυχόν περαιτέρω έκθεση ως αποτέλεσμα αυτού του περιστατικού.
Δείτε επίσης: Η ομάδα Bluebottle στοχεύει τράπεζες σε Γαλλόφωνες χώρες
Κρυφή ενημέρωση ασφαλείας μη προσβάσιμη μέσω των μηχανών αναζήτησης;
Είναι ειρωνικό το γεγονός ότι η υποτιθέμενη “ενημερωμένη έκδοση ασφαλείας” μιλάει για τη δέσμευση της Slack στην ασφάλεια, την ιδιωτικότητα και τη διαφάνεια, ενώ συνοδεύεται από ορισμένες επιφυλάξεις.
Επιπλέον, τη στιγμή που γράφεται αυτή η “είδηση” δεν βρίσκεται πουθενά στο διεθνές ειδησεογραφικό ιστολόγιο της εταιρείας, μαζί με τα άλλα άρθρα της.
Επιπλέον, σε ορισμένες περιοχές, όπως το Ηνωμένο Βασίλειο, η πρόσφατη ενημέρωση του ιστολογίου της Slack χαρακτηρίστηκε με “noindex” – ένα χαρακτηριστικό HTML που χρησιμοποιείται για να μην εμφανίζεται μια ιστοσελίδα όταν κάποιος την αναζητά. Αυτό καθιστά πιο δύσκολη την εύρεση και την πρόσβαση στη σελίδα απ’ ό,τι έδειχναν προηγουμένως οι αναρτήσεις τους.
Τα καλά νέα, όσον αφορά την πιο πρόσφατη ενημέρωση ασφαλείας είναι ότι προς το παρόν οι χρήστες δεν χρειάζεται να κάνουν τίποτα.
Για όσους δεν γνωρίζουν: Ένα ιδιωτικό αποθετήριο στο Github είναι ένα αποθετήριο στο οποίο μπορούν να έχουν πρόσβαση μόνο όσοι έχουν συγκεκριμένα δικαιώματα που έχουν παραχωρηθεί από τον ιδιοκτήτη του αποθετηρίου. Αυτό επιτρέπει στον ιδιοκτήτη να ελέγχει ποιος έχει πρόσβαση σε συγκεκριμένα αρχεία ή φακέλους μέσα στο αποθετήριο. Τα ιδιωτικά αποθετήρια είναι ιδανικά για ομάδες που εργάζονται πάνω σε εμπιστευτικά έργα ή ιδιόκτητο κώδικα, καθώς παρέχουν ένα επιπλέον επίπεδο ασφάλειας.
Πηγή πληροφοριών: bleepingcomputer.com
