Esta semana desarrolladores de Slack Messenger Anunciado una nueva función Connect DM que permite enviar mensajes directamente a cualquier usuario de Slack en cualquier organización. Los desarrolladores lo posicionaron como una forma nueva y conveniente de comunicarse con socios comerciales..
Sin embargo, A usuarios y expertos en ciberseguridad no les gustó la nueva funcionalidad incluida por defecto. El hecho es que incluso si el usuario tiene Connect DM deshabilitado, seguirá recibiendo notificaciones por correo electrónico y mensajes de todos los que intentaron contactarlo, incluidas personas aleatorias que pueden abusar de esta función para simplemente enviarle a alguien una porción de insultos.
Peor aún, De repente, los forasteros pudieron hablar directamente con los empleados de cualquier empresa e invitarlos a chats privados., donde podrían ser objeto de ataques de phishing y sufrir ingeniería social.
La reacción de la comunidad fue inmediata. Por ejemplo, en Twitter, Varios expertos en seguridad escribieron que se puede abusar de esta función no solo para realizar phishing o difundir malware, También se puede utilizar para enviar spam y acosar a personas específicas.. El problema es que los usuarios no tenían ningún mecanismo para bloquear dichos mensajes e incluso la capacidad de reportar abusos al administrador..
Debido a esto, las empresas comenzaron a desactivar masivamente Connect DM, y los especialistas en seguridad de la información recomendaron utilizar esta función solo junto con listas estrictas de control de acceso que le permitan controlar qué empleados pueden participar en chats interorganizacionales..
Vice Placa base se puso en contacto con los representantes de Slack y les preguntó qué piensan hacer con los problemas que han surgido..
La empresa admitió que cometieron un error.:
Al mismo tiempo, un portavoz de Slack se negó a decir si la compañía planea finalizar Slack Connect DM en su conjunto y, por ejemplo, agregar una función de bloqueo muy necesaria. La compañía dijo que el Trust&El equipo de seguridad ha estado operando en Slack desde 2016, pero Slack se exime de responsabilidad por moderar su plataforma, transfiriéndolo a las empresas que lo utilizan.
Déjame recordarte que Investigador descubrió vulnerabilidad en Telegram, que permite localizar al usuario.
