到着Webhooksのリスク？

Question

誰かが誤ってMicrosoft Teamsチャンネルの入ってくるウェブフックURLを失った場合のリスクエクスポージャーは何ですか？

私の理解によれば、チームメンバーやメッセージのようなデータにアクセスすることはできません。基本的には、URLを持っている人は潜在的にチャンネルを迷惑にしてしまいます。

Answer 1

はい、あなたは正しいです。入ってくるwebhookのURLには、このようなリスクはありません。コネクタカードは、Microsoft Teamsチャネルにのみプッシュできます。チームメンバーとメッセージには、webhook URLを使用してアクセスできません。

Answer 2

悪意のある人がそのURLを取得した場合、私は間違ったことを理解していない限り、行動可能なメッセージをフォームとともに送信し、そのフォームの内容を自分のコントロールできないエンドポイントに送信できます。例えば、 HRによって提供されたフォームとしてフォームを偽装し、機密情報を要求します。

これはセキュリティの巨大な穴のように思えますが、私はまだそれが間違っていると思います。