Um ex-redator do Gizmodo mudou o nome para 'Slackbot' e passou meses sem ser detectado
Uma brincadeira de um ex-redator do Gizmodo ao renomear sua conta para “Slackbot” depois de sair da empresa provoca preocupações mais amplas sobre como muitas organizações lidam mal com a revogação de acesso em ferramentas como o Slack. Comentadores destacam offboarding fraco, dependência de processos manuais em vez de SSO/SCIM e a facilidade de impersonação por meio de caracteres Unicode parecidos como riscos sérios de segurança, especialmente diante da possível exposição legal sob leis como a CFAA. Vários ponderam o equilíbrio entre controles rígidos de identidade e a “ludicidade” do ambiente de trabalho, mas a maioria vê automação melhor e aplicação de políticas como algo давно atrasado.
Segurança por obscuridade e “contas de serviço”
- Vários comentários observam que o “melhor lugar para se esconder” é como uma conta de sistema/serviço que ninguém ousa mexer.
- Outros compartilham o modo de falha oposto: um administrador excessivamente zeloso apagando contas misteriosas de automação, quebrando fluxos de trabalho (a analogia da cerca de Chesterton).
- Algumas organizações implementam higiene rigorosa de chaves/contas (por exemplo, sistemas que vasculham servidores e apagam chaves SSH desconhecidas), mas isso adiciona fricção operacional.
Preocupações legais e éticas (CFAA, impersonação)
- Vários comentadores argumentam que esse tipo de brincadeira pode gerar responsabilidade sob o Computer Fraud and Abuse Act (CFAA).
- Há debate sobre prazos prescricionais e a diferença entre ações civis e criminais.
- A discussão distingue alterações benignas de parâmetros de URL/coleta de dados públicos de contornar deliberadamente a revogação de acesso após a rescisão.
- Alguns enquadram o engano de identidade (por exemplo, se passar por funcionário ou policial) como algo intrinsecamente agravante; outros argumentam que o crime é o acesso/o furto, não o disfarce em si.
SSO, SCIM e falhas de desprovisionamento
- Muitos dizem que um SSO adequado com provisionamento de usuários via SCIM deveria ter removido automaticamente o ex-funcionário.
- Outros apontam falhas: sessões de longa duração, adoção incompleta de SCIM e SSO/SCIM como recursos “enterprise” de upgrade pago (o “imposto do SSO”).
- Fornecedores terceirizados oferecem integrações SCIM/Slack, mas com custo por conexão, o que influencia por que aplicativos/empresas menores não o habilitam.
- Alguns relatam ainda ter acesso total ao Slack/Google/seguro muito tempo depois de sair, muitas vezes porque a integração entre Slack e IdP estava mal configurada ou ausente.
Mudanças de nome, impersonação e variação de políticas
- Há preocupação de que permitir mudanças arbitrárias de nome de exibição facilite a impersonação de CEOs, bots ou serviços.
- Algumas organizações travam nomes e avatares via SAML/SCIM; outras impõem reautenticação frequente e desativação rápida.
- Muitos ambientes de trabalho permitem intencionalmente mudanças lúdicas de nome por cultura/moral, ou para usos funcionais (por exemplo, embutir informação de disponibilidade/férias nos nomes).
- O tópico observa que “sem ser detectado” na história significa, na verdade, sem ser detectado pela gestão; os colegas sabiam e tratavam como piada.
Unicode, homoglifos e colisões de namespace
- O truque dependia de homoglifos Unicode (por exemplo, o “о” cirílico em vez do “o” latino), um padrão de ataque há muito conhecido em segurança.
- Desenvolvedores descrevem ferramentas/plugins para destacar Unicode suspeito e relatam bugs causados por aspas/travessões “inteligentes” ou espaços não padronizados.
- Discussão mais ampla sobre problemas difíceis de namespace: painéis com subdomínios curinga, slugs ofensivos ou reservados, e usuários reais chamados “Admin”, “Null” ou “True” colidindo com suposições do sistema.
Meta: valor do artigo
- Alguns veem o artigo como raso, essencialmente reproduzindo um tweet; outros dizem que ele adiciona contexto para quem não usa Slack e uma fonte corroborativa.