Slack, la célèbre messagerie collaborative, vient de communiquer sur un gros problème de sécurité. En effet, des pirates ont visiblement accédé à des dépôts¹ externes de la société sur GitHub.

Pas de données des clients

La société indique que l'attaque a été détectée le 29 décembre, et qu'elle datait du 27 décembre. Des jetons d'accès de membres du personnel avaient été dérobés, et l'attaquant a pu télécharger des dépôts externes. Slack affirme que les dépôts ne contenaient pas de données des clients, que le code dérobé ne permet pas d'accéder aux données des clients et qu'il ne s'agit pas du code principal de la messagerie (sans plus de précisions).

Visiblement, l'attaque n'a pas eu d'impact connu et les jetons dérobés ont évidemment été invalidés. Reste que cette attaque et la communication liée ressemblent un peu à ce qui est arrivé récemment avec LastPass : la société a d'abord communiqué en minimisant l'attaque, avant de finalement annoncer que les problèmes étaient plus sérieux que prévu. Pourquoi comparer ? Parce que Slack indique bien qu'une enquête est encore en cours.

Le cas de LastPass s'aggrave : des mots de passe (chiffrés) sont entre les mains des pirates

Terminons par cet article de BleepingComputer, lié : il explique que Slack a d'abord tenté de minimiser la visibilité du message qui indique l'attaque, en réduisant les possibilités d'indexation. Une technique courante mais un peu étonnante quand le post d'explication commence par « Nous prenons très au sérieux la sécurité, la confidentialité et la transparence de nos produits et services. ».