Nouvelles révélations à propos de l’incident de sécurité de 2015

Suite à l’obtention de nouvelles informations concernant notre incident de sécurité survenu en 2015 (décrit ici à l’époque), nous réinitialisons les mots de passe d’environ 1 % des comptes Slack. Cette mesure vous concerne si et seulement si :

• vous avez créé votre compte avant mars 2015,
• ET vous n’avez pas changé le mot de passe depuis lors,
• ET votre compte n’exige pas de connexion via une solution d’authentification unique.

En d’autres termes, si vous faites partie d’environ 99 % de ceux qui ont rejoint Slack après mars 2015 ou si vous avez changé votre mot de passe depuis lors, cette annonce ne vous concerne pas.

2015

En 2015, des individus non autorisés ont accédé à l’infrastructure Slack, y compris à une base de données qui stockait des informations sur les profils des utilisateurs (à savoir des noms d’utilisateur et des mots de passe chiffrés de façon irréversible selon la technique d’empreinte numérique ou de « hashing »). À l’époque, les assaillants ont également inséré du code qui leur a permis de récupérer des mots de passe en texte clair, au fur et à mesure qu’ils étaient entrés par les utilisateurs. 

Immédiatement après l’incident, nous avons réinitialisé les mots de passe des quelques utilisateurs Slack qui avaient été touchés. Nous avons également conseillé à tous les utilisateurs de réinitialiser leur mot de passe et immédiatement mis en œuvre des mesures de sécurité correctives et préventives, dont l’authentification à deux facteurs. Depuis cet incident de 2015 qui a touché Slack et plusieurs autres entreprises, nous n’avons détecté aucune attaque à l’encontre de notre infrastructure.

2019

Nous avons été récemment contactés par un participant à notre programme « bug bounty » qui nous a informés que certaines données d’authentification Slack pourraient avoir été compromises. Ces types de rapports sont courants et résultent généralement de la réutilisation de logiciels malveillants ou de mots de passe entre services, ce que nous pensions être le cas.

Nous avons immédiatement confirmé qu’une partie des adresses e-mail et des combinaisons de mots de passe étaient valides et nous avons réinitialisé ces mots de passe. Puis nous avons expliqué nos actions aux utilisateurs concernés. Cependant, d’autres renseignements nous sont parvenus et nous avons poursuivis nos investigations. Nous avons pu en conclure que la majorité des données étaient celles de comptes qui s’étaient connectés pendant l’incident de sécurité de 2015.

Ce que nous faisons maintenant

Aujourd’hui, nous réinitialisons les mots de passe de tous les comptes qui étaient actifs au moment de l’incident de 2015, à l’exception des comptes qui utilisent l’authentification unique ou ayant modifié leurs mots de passe après mars 2015. Nous n’avons aucune raison de croire que ces comptes ont été compromis, mais nous pensons qu’il vaut mieux prendre des mesures de précaution supplémentaires. Cependant, nous sommes conscients qu’il s’agit de mesures contrariantes pour les utilisateurs concernés et nous vous prions d’accepter nos excuses.

Q&R

Que dois-je faire si mon mot de passe est réinitialisé par Slack ?

Aujourd’hui, tous les comptes actifs nécessitant une réinitialisation du mot de passe sont en train d’être notifiés et de recevoir des instructions. Pour en savoir plus sur les réinitialisations de mot de passe à tout moment, vous pouvez aussi consulter notre centre d’assistance : https://get.slack.help/hc/en-us/articles/201909068

Comment puis-je consulter l’accès à mon compte ?

Chaque utilisateur peut consulter ses journaux d’accès personnels liés à son compte ou exporter un rapport CSV complet, à tout moment sur https://my.slack.com/account/logs. Les propriétaires et les administrateurs d’espaces de travail ayant des forfaits payants peuvent en savoir plus sur les journaux d’accès de leur espace de travail en consultant cette page de notre centre d’assistance : https://get.slack.help/hc/en-us/articles/360002084807-View-Access-Logs-for-your-workspace.

À qui puis-je m’adresser pour poser d’autres questions ?

Si vous avez des questions autres que celles qui ont été abordées ici, veuillez nous contacter à l’adresse suivante : security@slack.com.  

Quelles mesures puis-je prendre pour sécuriser davantage mon compte ?

Nous recommandons à tous les utilisateurs d’utiliser l’authentification à deux facteurs, de s’assurer que leur logiciel informatique et leur logiciel antivirus sont à jour et de créer de nouveaux mots de passe uniques pour chaque service utilisé ou d’utiliser un gestionnaire de mots de passe.