Slack toont chat-teams Apple, Google en Facebook door ontwerpfout

Een fout in de zakelijke chat- en samenwerkings-app Slack geeft ons een kijkje bij een aantal grote techbedrijven, waaronder ook Apple. Slack wordt namelijk ook door sommige Apple-medewerkers gebruikt, en door te doen alsof je ook bij Apple werkt krijg je de gebruikte kanalen te zien. Hiervoor hoef je alleen een zelfbedacht Apple.com-mailadres in te voeren op de website.

De truc werkt alleen bij bedrijven die Slack gebruiken met meerdere teams. Probeer je te neuzen bij een bedrijf op Slack dat slechts één team heeft, dan krijg je niks bijzonders te zien. Daarnaast kun je de chats niet lezen: alleen de namen van de teams waar deze chats in plaatsvinden. Bij deze grote bedrijven is dat echter voer voor mogelijke geruchten. Bij Apple wordt in de lijst met teams onder andere verwezen naar een ‘iSS Chat’, ‘The Chrocicles’ en een aantal afkortingen die intern worden gebruikt:

Apple’s teams wijzen op weinig concreets – veel van de afkortingen worden intern gebruikt door Apple-personeel. Andere bedrijven geven meer hints. Bekijk je bijvoorbeeld de Slack-teams van Facebook, dan staat daar ook een WWDC-kanaal tussen. Dit kanaal wordt ook nog eens gedeeld met Apple-medewerkers op Slack. Het lijkt er op dat Apple en Facebook op het moment nauw samen werken aan iets wat op een volgende WWDC gepresenteerd kan worden.

Bij Google’s Slack-teams zien we ook een aantal opmerkelijke namen voorbij komen. Zo heeft Google een team speciaal voor de belapp Viber, die eerder door het Japanse Rakuten werd overgenomen. Wellicht een hint van nog een overname voor de app – of de naweeën van een deal niet is doorgegaan.

De ontwerpfout bij Slack zal tot frustratie leiden bij veel bedrijven die de diensten gebruiken. Technisch gezien is het geen beveiligingslek: de functie werkt namelijk gewoon zoals Slack hem heeft ontworpen:

Update: Slack heeft op berichten over de ontwerpfout gereageerd. Teamleiders kunnen volgens Slack zelf bepalen of je teams op de zakelijke netwerksite mag ontdekken door een mailadres in te voeren. Bij het maken van een team kun je op Slack aangeven dat iedereen met een bepaald soort mailadres zich hierbij mag aansluiten. Dan krijgt iedereen met een (niet bestaand) mailadres het team te zien. Door toegang tot het team te beperken tot uitnodigingen van de beheerder, staat het team niet in de lijst.

Toch zegt Slack in te zien wat het bezwaar is van gebruikers. De inlogpagina was gemaakt toen slechts een paar teams Slack gebruikten en de optie niet werd misbruikt, maar nu is de website te groot om nog op deze manier teaminformatie prijs te geven. Er wordt daarom gewerkt aan een nieuwe inlogpagina. Op de desktopsite van Slack is het inlogproces al lichtelijk aangepast. Slack wil het daarnaast duidelijker maken wanneer je mogelijk teamnamen aan de buitenwereld toont.

Via @elger, @niekdekker