Slack sin E2EE: hack técnico revela vulnerabilidad crítica 2026

Un desarrollador logra implementar cifrado de extremo a extremo en Slack usando video embeds

Un hack técnico reciente demuestra cómo explotar los bloques de video de Slack (Block Kit) para crear comunicación E2EE mediante iframes y la librería openpgpjs. El proyecto, publicado en junio de 2026, revela una limitación de seguridad crítica: Slack no ofrece cifrado de extremo a extremo nativo para mensajes, obligando a desarrolladores a buscar soluciones creativas.

Para founders que manejan datos sensibles en Slack, esto expone una vulnerabilidad real: tus mensajes pueden ser accedidos por empleados de Slack, hackers o autoridades si no implementas protección adicional.

¿Cómo funciona este hack técnico?

El autor utiliza la API de criptografía del navegador junto con openpgpjs para realizar operaciones criptográficas localmente, antes de que los datos salgan del cliente. La clave está en embedir un iframe dentro de un video block de Slack, donde se ejecuta el código de cifrado.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El flujo técnico:

Las claves privadas nunca abandonan el navegador del usuario
El cifrado ocurre antes de que Slack procese el mensaje
Los video blocks de Block Kit aceptan iframes de dominios externos compatibles
Slack solo ve contenido cifrado, no puede descifrarlo

Esto es posible porque los video blocks de Slack están diseñados para apps, no para usuarios directos, y requieren el scope links.embed:write. El contenido proviene de una video_url accesible públicamente o con control de acceso, que Slack renderiza sin validar el contenido real.

Slack no tiene E2EE: el problema de fondo

Según documentación oficial y análisis de seguridad de 2026, Slack usa cifrado en tránsito y en reposo, pero no cifrado de extremo a extremo para canales y mensajes directos. Esto significa que Slack puede acceder al contenido de tus comunicaciones.

La campaña Make Slack Safe, lanzada en 2023 por Fight for the Future, exige que Slack implemente E2EE por defecto para todos los usuarios. Hasta junio de 2026, la respuesta de Slack ha sido limitada: ofrecen Enterprise Key Management (EKM) para Enterprise Grid, que permite a clientes controlar claves en su propio AWS KMS, pero incluso esto no hace imposible que Slack acceda a los datos.

Las limitaciones actuales:

EKM permite revocar acceso, pero no es E2EE verdadero
Slack puede acceder a mensajes hasta que se revoca la clave
No hay protección contra empleados de Slack o subpoenas judiciales
Los video embeds no están cifrados de extremo a extremo por diseño

¿Por qué Discord y Telegram sí ofrecen Mini Apps seguras?

La diferencia clave está en el modelo de plataforma. Telegram Mini Apps y las integraciones de Discord están diseñadas como aplicaciones web que corren dentro del messenger, con límites de seguridad más claros entre la plataforma y la app.

En Telegram, las Mini Apps son web apps con origen web separado, donde la seguridad depende del manejo de tokens, validación del servidor y los checks del propio desarrollador. El messenger actúa como contenedor, no como procesador de contenido.

Slack, en cambio:

Es una plataforma de colaboración empresarial con controles centralizados
Los video blocks deben ser compatibles con iframe embebible
No puede usar dominios relacionados con Slack en el embed
La app es responsable de renderizar y asegurar el contenido

Esto crea una superficie de ataque diferente: la vulnerabilidad no está en Block Kit mismo, sino en cómo tu app o iframe embebido maneja el contenido.

¿Qué significa esto para tu startup?

Si tu startup usa Slack para comunicación interna o con clientes, este hack técnico revela tres riesgos críticos que debes abordar inmediatamente.

Riesgo 1: Datos sensibles expuestos

Si compartes información de clientes, código propietario, estrategias comerciales o datos financieros en Slack sin E2EE, esos datos son accesibles por terceros. Esto viola regulaciones como GDPR, HIPAA o leyes locales de protección de datos.

Riesgo 2: Dependencia de seguridad de la plataforma

Confiar en que Slack «protege» tus datos es un error. La plataforma está diseñada para colaboración, no para privacidad máxima. Si tu caso de uso requiere confidencialidad contra el operador de la plataforma, Slack no es la herramienta correcta.

Riesgo 3: Apps de terceros como vector de ataque

Según Reco AI, las vulnerabilidades de apps de terceros son uno de los 8 riesgos de seguridad clave en Slack. Cada app que instalas con scopes amplios puede acceder a tus datos.

Acciones concretas que puedes implementar hoy

Acción 1: Audita tus canales y datos sensibles

Identifica qué canales contienen información crítica (finanzas, legal, código, datos de clientes)
Migra esas conversaciones a herramientas con E2EE nativo como Signal, Wire o Element
Usa Slack solo para comunicación operativa no sensible
Implementa políticas de retención de datos más cortas (Reco AI recomienda revisar configuración de retención)

Acción 2: Evalúa soluciones de cifrado del lado del cliente

Si debes usar Slack, implementa cifrado antes de enviar (como el hack técnico mostrado)
Usa herramientas como Cryptee, ProtonMail o soluciones enterprise de cifrado
Considera desarrollar una app interna que cifre mensajes antes de postear a Slack
Para video calls, usa integraciones con E2EE nativo (Zoom con E2EE activado, Jitsi, Whereby)

Acción 3: Revisa scopes de apps instaladas

Audita todas las apps de terceros en tu workspace de Slack
Revoca scopes innecesarios (especialmente acceso a mensajes y archivos)
Usa solo apps verificadas con buenas prácticas de seguridad
Implementa aprobación manual para nuevas instalaciones de apps

El futuro: ¿adoptará Slack Mini Apps como Telegram?

La reflexión del autor es clara: plataformas como Slack deberían adoptar modelos de Mini Apps similares a Discord o Telegram, donde la seguridad es responsabilidad del desarrollador de la app, no de la plataforma central.

Esto permitiría:

Aislamiento de seguridad entre la plataforma y las apps
E2EE implementado por desarrolladores sin depender de Slack
Innovación más rápida en funcionalidades de seguridad
Claridad en límites de responsabilidad (qué protege Slack, qué protege la app)

Hasta que esto ocurra, los founders deben asumir que Slack no es seguro para datos sensibles y actuar en consecuencia.

Conclusión

Este hack técnico no es solo una curiosidad de desarrollador: es una señal de alerta para todo el ecosistema startup. La falta de E2EE nativo en Slack expone a miles de empresas a riesgos de seguridad reales, y las soluciones creativas como esta demuestran que la comunidad técnica está dispuesta a tomar la seguridad en sus propias manos.

Como founder, tu responsabilidad es proteger los datos de tu empresa y clientes. Si Slack no lo hace por defecto, tú debes implementar las protecciones necesarias o migrar a herramientas que sí ofrezcan privacidad real.