Mise à jour de sécurité Slack

Article mis à jour le 9 janvier 2023

Nous avons récemment identifié un problème de sécurité impliquant un accès non autorisé à un sous-ensemble de référentiels de code Slack. Notre clientèle n’en a pas été affectée, aucune action n’est requise, et l’incident a été rapidement résolu. Mais comme nous prenons très au sérieux la sécurité, la confidentialité et la transparence de nos produits et services, nous souhaitons partager ci-dessous les détails relatifs à cet incident.

Que s’est-il passé ?

Le 29 décembre 2022, nous avons été informés d’une activité suspecte sur notre compte GitHub. Après enquête, nous avons découvert qu’un petit nombre de jetons de membres du personnel de Slack avaient été dérobés et détournés pour accéder à notre dépôt GitHub, hébergé en externe. Notre enquête a également révélé que le pirate informatique avait téléchargé des dépôts de code source privés le 27 décembre. Aucun de ces dépôts téléchargés ne contenait de données clients, de moyens d’accéder aux données clients, ou le codebase principal de Slack.

Notre réaction et notre enquête

Lorsque nous avons été informés de l’incident, nous avons immédiatement invalidé les jetons dérobés et avons commencé à enquêter sur son impact potentiel auprès de notre clientèle. D’après nos conclusions actuelles, le pirate informatique n’a accédé à aucune autre zone de l’environnement Slack, y compris l’environnement de production, ni à aucune autre ressource Slack ou aux données clients. Cette intrusion n’a eu aucun impact sur notre code ou nos services, et par précaution, nous avons également modifié l’ensemble des identifiants concernés.

Selon les informations actuellement disponibles, l’accès non autorisé ne résulte pas d’une vulnérabilité inhérente à Slack. Notre enquête a révélé que la faille se situait au niveau d’un de nos fournisseurs. Nous avons collaboré avec ce fournisseur pour assurer la rotation des identifiants et nous veillons désormais à la sécurité des jetons.

Nous poursuivons notre enquête et notre surveillance afin de détecter tout risque éventuel. Nous avons mis en place un système d’alerte supplémentaire et renforcé pour surveiller notre dépôt GitHub hébergé en externe. Nous travaillons également avec nos fournisseurs, et nos partenaires en charge de la sécurité informatique, afin de garantir que les jetons utilisés pour accéder à un quelconque dépôt Slack sont stockés de manière sécurisée.

Q&R

Qu’est-ce qu’un dépôt de code source ?
Un dépôt de code source est une bibliothèque de code logiciel. Outre le code lui-même, le dépôt contient de la documentation, des notes, des pages web et le suivi des modifications apportées.

Dans quelle mesure cela me concerne-t-il ?
Cet incident n’a eu aucun impact sur notre clientèle ; vous n’avez donc aucune mesure à prendre de votre côté.

À qui puis-je m’adresser pour poser d’autres questions ?
Pour toute question ou assistance, rendez-vous dans le centre d’assistance Slack.