Gestión despreocupada de webhooks

A medida que el trabajo en remoto continúa creciendo, también lo hace la adopción de plataformas de colaboración por chat y ChatOps. Estas plataformas a menudo ofrecen webhooks como una forma simple de automatizar el envío de mensajes y notificaciones, pero estamos notando una tendencia preocupante: la gestión despreocupada de los webhooks — donde se están tratando como configuración en vez de un secreto o credencial. Esto puede conllevar ataques de ‘phishing’ y espacios internos comprometidos.

Los webhooks son credenciales que ofrecen un acceso privilegiado a un espacio interno que puede contener API keys que pueden ser fácilmente extraídas y utilizadas directamente. El hecho de no tratarlas como secretos abre la posibilidad de que los ataques de phishing tengan éxito. Los webhooks en los repositorios Git pueden ser fácilmente extraídos y usados para enviar payloads fraudulentos, las cuales el usuario puede no tener ninguna forma de autenticar. Para mitigar esta amenaza, los equipos que se encargan de ‘webhooks’ necesitan cambiar su cultura y tratar a los webhooks como credenciales sensibles. Los desarrolladores de software que construyen integraciones con plataformas de ‘ChatOps’ también deben ser conscientes del riesgo y asegurarse de que los webhooks se gestionen con las medidas de seguridad apropiadas.