Zoom corrige un fallo de seguridad que pudo haber permitido a los delincuentes unirse a las videoconferencias

Investigadores de la empresa de ciberseguridad Check Point, descubrieron que era posible explotar la forma en que Zoom generaba las URL de las salas de conferencias virtuales y utilizarlas para espiar las reuniones. Utilizando herramientas automatizadas para generar identificaciones aleatorias de salas de reuniones, los investigadores descubrieron que podían generar enlaces a reuniones genuinas de Zoom sin protección de contraseña el 4% de las veces durante las pruebas.

Y mientras que la generación aleatoria de URLs significa que este truco no podría ser usado para ataques dirigidos contra una organización en particular, si los atacantes encontraban una sala de interés, podían seguir volviendo, a menos que se añadiera una contraseña más tarde.

Si bien sería posible que los miembros de la sala virtual se dieran cuenta de que el atacante se ha unido a la llamada, a menudo estas reuniones son muy concurridas, por lo que un miembro más podría no dar la alarma.

“El miembro adicional sería visible para los demás en la reunión si miran la ventana de ‘participantes’ en el Zoom. Pero en muchos casos, las conferencias de Zoom pueden tener 10 o más participantes, por lo que el hacker puede no ser notado en una lista grande”, dijo a ZDNet Alexander Chailytko, gerente de investigación e innovación en seguridad cibernética de Check Point.

Este conjunto de correos electrónicos de muestra le ayudará a construir un plan de comunicación para ayudar a concienciar a los usuarios sobre las amenazas a la seguridad y las mejores prácticas, desde evitar los ataques de phishing hasta elegir contraseñas efectivas. Las necesidades de comunicación de cada empresa varían…

El hecho de no tener una contraseña para las reuniones era la configuración predeterminada para las reuniones programadas mediante el Zoom, pero tras la revelación de la vulnerabilidad por parte de Check Point, el proveedor de software de teleconferencia solucionó el problema con una actualización de seguridad y añadió nuevas funcionalidades, entre ellas, la adición de contraseñas predeterminadas para las reuniones, criptografía adicional y la desactivación de la capacidad de explorar aleatoriamente las reuniones para unirse a ellas.

Check Point informó que Zoom respondió a la revelación, “muy seriamente”, cuando se hizo en agosto de 2019 y que las comunicaciones sobre el tema fueron muy rápidas. Aunque se desconoce si la vulnerabilidad ha sido utilizada en la naturaleza, la actualización significa que ya no se puede abusar de ella.

“La privacidad y seguridad de los usuarios de Zoom es nuestra principal prioridad. El tema se trató en agosto de 2019, y hemos seguido añadiendo características y funcionalidades adicionales para fortalecer aún más nuestra plataforma. Agradecemos al equipo de Check Point por compartir su investigación y colaborar con nosotros”, dijo un portavoz de Zoom a ZDNet.

A fin de contrarrestar la posibilidad de que los ciberdelincuentes exploten cualquier forma de software de teleconferencia utilizando cualquier posible vulnerabilidad en otras plataformas, se recomienda que las empresas se aseguren de que las llamadas estén protegidas por una contraseña.

“Como mínimo, los usuarios deben utilizar siempre la protección por contraseña para las conferencias, de modo que incluso si un individuo tropieza inadvertidamente con una identificación de conferencia, no puede unirse sin la contraseña”, indicó Chailytko.

Zoom es usado por más del 60% de las compañías de Fortune 500 y por más del 96% de las 200 mejores universidades de los Estados Unidos. Estas organizaciones utilizan la herramienta de conferencia como un medio para llevar a cabo fácilmente reuniones a distancia, con audio y vídeo en directo, así como compartir pantalla y transferir archivos.

Con información de: Europa Press.