Slack a stocké certains mots de passe en texte brut, vous devrez peut-être changer le vôtre
Eh bien, c’est malheureux. Slack demande à certains utilisateurs d’Android de réinitialiser leurs mots de passe dès que possible. Une mise à jour récente publiée par la société a introduit un bogue qui stockait les mots de passe en texte brut, ce qui est très mauvais. La société affirme qu’elle n’a aucune preuve d’informations d’identification compromises, mais elle envoie un e-mail à toute personne concernée pour lui faire changer de mot de passe.
Comme repéré pour la première fois par Android Police, la société envoie un e-mail aux utilisateurs concernés par le bogue et inclut même un lien directement pour mettre à jour les mots de passe. C’est un choix étrange, car généralement, vous ne devriez pas faire confiance à un e-mail contenant un lien pour modifier vos informations de connexion. Mais les e-mails sont légitimes. Voici le texte du message :
Bonjour,
Slack demande une réinitialisation du mot de passe pour le compte [expurgé] sur [expurgé]. Nous prenons cette mesure par précaution en raison d’une erreur que nous avons découverte, et il n’y a aucune preuve d’un accès non autorisé ou d’un tiers à ce compte. Maintenir la sécurité de votre équipe et la confidentialité de vos communications est important pour nous. Nous nous excusons pour la perturbation.
Le 21 décembre 2020, Slack a introduit un bogue qui a amené certaines versions de notre application Android à enregistrer les informations d’identification de l’utilisateur en texte clair sur leur appareil. Slack a identifié le problème le 20 janvier 2021 et l’a corrigé le 21 janvier 2021. Une version corrigée de l’application Android est disponible et nous avons bloqué l’utilisation des versions concernées.
Pour définir immédiatement votre nouveau mot de passe, veuillez utiliser le lien suivant : [expurgé]
La sélection d’un mot de passe complexe et unique est fortement recommandée et essentielle pour protéger l’intégrité de votre compte. Nous suggérons l’utilisation d’un gestionnaire de mots de passe pour vous aider à garder une trace de vos mots de passe pour chaque service que vous utilisez.
Enfin, vous pouvez supprimer manuellement les journaux de votre appareil. Sachez que cette action vous déconnectera également de tous les espaces de travail Slack dont vous êtes membre. Nous avons déjà invalidé le mot de passe connecté, mais si vous avez réutilisé ce mot de passe Slack pour vous connecter à d’autres sites Web, cela est fortement recommandé.
Vous pouvez le faire avec ces instructions sur votre appareil Android :
Depuis votre écran d’accueil, accédez à l’application Paramètres
Faites défiler vers le bas et sélectionnez Applications
Naviguez jusqu’à Slack et sélectionnez-le
Sélectionnez Stockage
Cliquez sur Effacer les données sur le côté gauche de l’écran
Cliquez sur OK pour confirmer que vous souhaitez effacer les données
Connectez-vous à Slack avec votre nouveau mot de passe
Nous regrettons beaucoup tout inconvénient que nous avons causé. Si vous avez des questions supplémentaires, vous pouvez répondre directement à cette notification — notre équipe d’assistance est prête à vous aider.
Sincèrement,
L’équipe de Slack
Slack dit que le bogue n’a touché qu’un petit sous-ensemble d’utilisateurs d’Android, si vous ne recevez pas d’e-mail de la société, vous n’aurez peut-être pas besoin de changer votre mot de passe. Là encore, mieux vaut prévenir que guérir, surtout si vous réutilisez les mots de passe. Et si vous réutilisez les mots de passe, arrêtez ça. Obtenez un gestionnaire de mots de passe et définissez un mot de passe compliqué unique pour chaque service et site qui en appelle un.
Si vous êtes comme nous et que vous ne faites pas confiance aux liens dans un e-mail demandant un changement de mot de passe, vous pouvez contourner cela et aller directement sur le site de Slack (Google si vous ne faites pas non plus confiance à notre lien). Connectez-vous simplement avec vos informations d’identification, puis modifiez votre mot de passe manuellement.
Stocker des mots de passe en texte brut est une très mauvaise faille de sécurité, mais Slack est loin d’être la première (ou la dernière) entreprise à faire cette erreur. Heureusement, il contacte les utilisateurs de manière proactive, même si nous recommandons un article sur le blog de l’entreprise pour nous rassurer que tous les e-mails sont réels.
via Androïd Police