Slack sufrió un incidente de seguridad durante las vacaciones que afectó a algunos de sus repositorios de código privados de GitHub.
La inmensamente popular aplicación de mensajería instantánea propiedad de Salesforce es utilizada por aproximadamente 18 millones de usuarios en lugares de trabajo y comunidades digitales de todo el mundo.
Los datos del cliente no se ven afectados. BleepingComputer se encontró con un aviso de incidente de seguridad emitido por Slack el 31 de diciembre de 2022.
El incidente involucra a los actores de amenazas que obtienen acceso a los repositorios de GitHub alojados externamente de Slack a través de un número "limitado" de tokens de empleados de Slack que fueron robados.
Si bien se violaron algunos de los repositorios de códigos privados de Slack, la base de código principal de Slack y los datos de los clientes no se vieron afectados, según la compañía.
"El 29 de diciembre de 2022, recibimos una notificación de actividad sospechosa en nuestra cuenta de GitHub. Tras la investigación, descubrimos que una cantidad limitada de tokens de empleados de Slack fueron robados y mal utilizados para obtener acceso a nuestro repositorio de GitHub alojado externamente. Nuestra investigación también reveló que el actor de amenazas descargó repositorios de códigos privados el 27 de diciembre. Ningún repositorio descargado contenía datos de clientes, medios para acceder a datos de clientes o la base de código principal de Slack".
Desde entonces, Slack invalidó los tokens robados y dice que está investigando el "impacto potencial" para los clientes.
En este momento, no hay indicios de que se haya accedido a áreas sensibles del entorno de Slack, incluida la producción. Sin embargo, por precaución, la compañía ha rotado los secretos relevantes.
"Según la información actualmente disponible, el acceso no autorizado no fue el resultado de una vulnerabilidad inherente a Slack. Continuaremos investigando y monitoreando para una mayor exposición", afirma el equipo de seguridad de Slack.
Fuente: bleepingcomputer.com