一名前Gizmodo作者改名为“Slackbot”，数月未被发现

📝

内容提要

前Gizmodo作者Tom McKay离职后，将Slack昵称改为“Slackbot”，用相似Unicode字符绕过重名限制并换上愤怒机器人头像，伪装数月未被管理层发现，账号免于删除，还向同事发送机器人式消息，暴露部分公司Slack管理松懈。

🔎

延伸解读

伪装手法：利用Unicode字符绕过重名限制

Slack不允许用户直接使用“Slackbot”作为昵称，但McKay通过将字母“o”替换为外观相似的Unicode字符“о”成功绕过限制。这种同形异义字符的滥用，暴露了平台在名称唯一性校验上的漏洞，也提醒企业需对显示名称进行更严格的规范化处理。

管理松懈：账号数月未被发现与删除

McKay离职后账号本应被停用或删除，却因伪装成Slackbot而存活数月。这反映出Gizmodo在账号生命周期管理上存在疏漏，既未及时清理离职员工权限，也未对异常账号进行监控。对于依赖Slack进行内部沟通的公司，此类疏忽可能带来信息泄露或冒用风险。

安全启示：企业应加强Slack治理

并非所有公司都会中招，部分企业已部署安全措施防止此类伪装。文章建议，企业应定期审计用户列表、强制使用真实姓名或工号、限制昵称修改权限，并监控机器人账号的异常活动。同时，员工也需对可疑的“官方”账号保持警惕，避免被误导。

❓

Q&A

Tom McKay 在离开 Gizmodo 后做了什么恶作剧？

他将 Slack 昵称改为“Slackbot”，换上愤怒机器人头像，并用相似 Unicode 字符绕过重名限制，伪装数月未被发现。

他是如何绕过 Slack 不允许重名“Slackbot”的限制的？

他使用了一个与字母“o”相似的 Unicode 字符“о”来替换“Slackbot”中的“o”，从而成功改名。

这个伪装持续了多久？为什么没有被发现？

伪装持续了数月未被管理层发现。可能是因为管理层以为他的账号已被删除，或者没有仔细注意到重复的 Slackbot 和其可疑的眉毛。

他伪装成 Slackbot 后做了什么？

他发送了机器人式的消息给同事，例如：“Slackbot fact of the day: Hi, I’m Slackbot! That’s a fact. Have a Slack-ly day!”

这个事件暴露了公司 Slack 管理的什么问题？

暴露了部分公司 Slack 管理松懈，例如 Gizmodo 的管理层未能及时发现重复的 Slackbot 账号，导致离职员工账号未被删除。

其他公司也会容易发生类似情况吗？

不一定，有些公司有安全措施防止此类事情发生，但 Gizmodo 的管理层可能没有足够警惕。

🏷️

标签

Slack Tom McKay 伪装 管理松懈