Atualização de segurança do Slack

Atualizado em 9 de janeiro de 2023

Recentemente, tomamos conhecimento de um problema de segurança envolvendo o acesso não autorizado a um subconjunto de repositórios de código do Slack. Nossos clientes não foram afetados, nenhuma ação é necessária e o incidente foi resolvido rapidamente. Como levamos segurança, privacidade e transparência muito a sério, estamos compartilhando os detalhes do incidente abaixo.

O que ocorreu

Em 29 de dezembro de 2022, fomos notificados sobre atividades suspeitas em nossa conta do GitHub. Após investigação, descobrimos que um número limitado de tokens de funcionários do Slack foi roubado e utilizado indevidamente para obter acesso ao nosso repositório do GitHub, que é hospedado externamente. Nossa investigação também revelou que o autor da ameaça baixou repositórios de códigos privados em 27 de dezembro. Nenhum repositório baixado tinha dados de clientes, meios para acessar os dados de clientes ou a base de código principal do Slack.

Nossa resposta e investigação

Quando notificados do incidente, invalidamos imediatamente os tokens roubados e começamos a investigar o possível impacto sobre nossos clientes. Nossas constatações atuais mostram que o invasor não acessou outras áreas do ambiente do Slack, incluindo o ambiente de produção, e nem acessou outros recursos do Slack ou dados de clientes. Não houve impacto sobre nosso código ou nossos serviços. Além disso, alternamos todas as credenciais relevantes como precaução.

Com base nas informações atualmente disponíveis, o acesso não autorizado não resultou de uma vulnerabilidade inerente ao Slack. Nossa investigação relevou que um fornecedor terceirizado foi comprometido. Esse fornecedor trabalha conosco com o rodízio de credenciais e garantiremos a segurança dos tokens no futuro.

Continuaremos a investigar e monitorar possíveis exposições futuras. Implementamos mais alertas avançados para monitorar nosso repositório do GitHub hospedado externamente. Também estamos trabalhando com os nossos fornecedores e parceiros de segurança para garantir que os tokens usados para acessar os repositórios do Slack sejam armazenados com segurança.

Perguntas frequentes

O que é um repositório de código?
Um repositório de código é uma biblioteca de código de software. Além do próprio código, o repositório contém documentação, notas, páginas da Web e rastreia as alterações.

De que forma eu fui afetado?
Não houve impacto para clientes e nenhuma ação precisa ser tomada pelos clientes.

Quem posso consultar se tiver mais dúvidas?
Se você tiver mais perguntas, entre em contato conosco em feedback@slack.com.