Pierwszy komputer, Atari 65 XE, dostał pod choinkę...
Slack to jedno z najpopularniejszych narzędzi biznesowych. Sami go używamy, więc doskonale wiem ile ważnych danych pojawia się na poszczególnych kanałach. Wiedzieli też pewnie o tym pracownicy Twittera, a jednak to właśnie przez Slacka padli ofiarą poważnego w skutkach włamania.
Slack pojawił się na rynku 6 lat temu, w połowie 2013 roku. Pod koniec ubiegłego roku oprogramowanie Slack Technologies mogło się pochwalić około 12 milionami dziennych użytkowników, którzy korzystają z tego bazującego na chmurze programu służącego do współpracy zespołowej. To tak naprawę komunikator internetowy dla zamkniętych grup użytkowników, w którym mogą tworzyć kanały, dyskutować na nich, przesyłać pliki oraz prowadzić dwuosobowe bądź grupowe konwersacje. Prosty w użyciu, posiadający dobrze działające aplikacje na komputery i urządzenia mobilne - również użyteczny w darmowej wersji (jednak z pewnymi ograniczeniami). Między innymi dlatego cieszy się dużą popularnością i ludzie chętnie z niego korzystają.
Już wcześniej firmy zajmujące się bezpieczeństwem w sieci ostrzegały, że jeśli niepowołane osoby dostaną się na firmowe slacki użytkowników usługi, może się to skończyć katastrofą. I mieli rację, ofiarą padł między innymi Twitter. Hakerzy najpierw uzyskali dostęp do Slacka pracowników Twittera, gdzie dostali się do informacji pozwalających zalogować się na wewnętrzne systemy firmy. Efekt? Przejęcie ponad 130 dużych profili w serwisie. To już poważny problem, który - na dobrą sprawę - wyniknął z wejścia na slackowe kanały, na których najpewniej część pracowników wysyłała sobie śmieszne gify i obrazki dyskutując o tym, jak mija im dzień w pracy. I to jeszcze w okresie dość powszechnej praktyki pracy z domu właśnie z wykorzystaniem tego typu narzędzi. Sęk w tym, że pośród tych wszystkich radosnych pracowych rozmów pojawiały się również dane, które może nie powinny trafić do zewnętrznego serwisu bazującego na chmurze. Co ciekawe, nikt z Twittera nie chce komentować sprawy - i trudno się temu dziwić. Dane, które pozwoliły komuś dostać się do dowolnego konta w serwisie Twitter publikowane w zewnętrznym serwisie w chmurze to nie jest na pewno powód do dumy.
Temat skomentował natomiast przedstawiciel Slack Technologies. I jak możecie się domyślić, firma nie ma sobie nic do zarzucenia - co więcej, twierdzi, że włamanie nie miało żadnego związku z ich zabezpieczeniami. Z biznesowego punktu widzenia taki komunikat jest konieczny żeby nie przestraszyć pozostałych firm korzystających ze Slacka. Wskazano natomiast, że włamanie opierało się na socjotechnice i to właśnie ona była powodem uzyskania dostępu do firmowego konta Twittera a następnie do narzędzi umożliwiających zalogowanie się do wewnętrznego systemu. Nie czuję się z tego powodu bezpieczniej, jeśli mam być szczery.
Jak więc sami widzicie, problemem nie są zabezpieczenia samej usługi, ale treści jakie pojawiają się w komunikatorach. I tu w zasadzie jedynymi winnymi są pracownicy Twittera, którzy dość frywolnie podeszli do tematu bezpieczeństwa i nie czuli skrępowania by dzielić się loginami czy hasłami do wewnętrznego systemu w sieciowym komunikatorze. Pewnie nie oni jedyni i jestem więcej niż pewien, że w wielu firmach wrażliwe dane przekazywane są choćby na facebookowym Messengerze. Wszystko jest ok do momentu aż ktoś niepowołany nie dostanie się do tych informacji. Tym bardziej szkoda, że dopiero wtedy dociera do ludzi, że może używanie ogólnodostępnych serwisów komunikacyjnych musi wiązać się z większym zaangażowanie w kwestie bezpieczeństwa. I teraz pozostaje pytanie - czy jakiekolwiek narzędzie służące do współpracy zespołowej jest bezpieczna? Zasadniczo tak, jeśli oczywiście spełnia pewne normy, choćby oferując dwuskładnikowe uwierzytelnianie i odpowiednio chroniąc loginy i hasła swoich użytkowników (a patrząc na to ile jest wycieków, z tym jest niestety różnie). Druga sprawa to oczywiście treści jakie są tam publikowane i gdyby pracownicy Twittera trochę się opamiętali, nie doszłoby do całej sytuacji. Trzecia kwestia to natomiast wspomniana wyżej socjotechnika, tak chętnie wykorzystywana do włamów. Trochę inwencji twórczej i wiele osób potrafi paść ofiarą dużo bardziej rozgarniętych włamywaczy, którzy używając sprytnych podchodów wręcz wyciągają dane logowania. A tu można było przecież stwierdzić - "to tylko nasz Slack" i nie przejąć się tak bardzo jak przy danych logowania do wewnętrznych serwisów pracodawcy.
Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu
