Tecno | Coronavirus | Docentes | Facebook | WhatsApp

Alertan por fallas de seguridad en una aplicación de videollamadas

Se encontraron vulnerabilidades que permitirían a un atacante robar información.

Por la cuarentena obligatoria a raíz del coronavirus, la aplicación de videollamadas Zoom tuvo un repentino éxito en las últimas semanas que hasta los docentes brindan clases virtuales y según informó la compañía, pasó de tener 10 millones de usuarios diarios a alcanzar un pico de 200 millones por día.

Con la exposición la aplicación comenzó a estar más expuesta en términos de ciberseguridad y cada vez hay más atacantes dispuestos a encontrar formas de aprovecharse de los baches de seguridad.

Eric Yuan, CEO de Zoom, publicó un comunicado donde menciona que, a raíz de todos estos incidentes, la compañía se compromete, durante los próximos 90 días, a dedicar “los recursos necesarios para identificar, abordar y solucionar los problemas de manera proactiva. También estamos comprometidos a ser transparentes en todo este proceso”.

CUÁLES SON LAS FALLAS DE SEGURIDAD

  • Robo de credenciales

En Windows, se descubrió que Zoom le permitiría a un atacante robar las credenciales de acceso de los usuarios que hacen clic en un enlace para unirse a una reunión.

Al enviar un mensaje de chat, las URL que se envían se convierten en hipervínculos para que otros miembros puedan hacer clic allí y abran la página en su navegador para de ese modo unirse a la reunión.

Para evitar este tipo de ataques, los investigadores de seguridad recomiendan establecer en la configuración de Windows la restricción del tráfico NTLM a servidores remotos. Par hacerlo hay que ir al menú de Configuración de Windows, luego ingresar en Ajustes locales/ Opciones de seguridad/ Seguridad de red y seleccionar la opción “denegar todos” en la restricción de NTLM a servidores remotos.

  • Instalación de malware

También se identificaron agujeros de seguridad vinculados a macOS. En este sentido, se halló una vulnerabilidad de día cero en la cual se especifica que Zoom utiliza una técnica "sombría" para instalar la aplicación de Mac sin interacción del usuario.

Un atacante local con privilegios de usuario de bajo nivel podría inyectar al instalador de Zoom código malicioso para obtener el nivel más alto de privilegios de usuario, es decir para ser usuario root.

Esos privilegios significan que el atacante puede acceder al sistema operativo macOS, que generalmente está prohibido para la mayoría de los usuarios, lo cual facilitaría la ejecución de malware o spyware sin que el usuario lo note.

  • Hackeo de cámara y micrófono

Hay otro error también en la aplicación para MacOS, que explota una falla en cómo Zoom maneja la cámara web y el micrófono en MacOS. Zoom, como cualquier aplicación que necesita acceso a la cámara web y el micrófono, primero requiere el consentimiento del usuario.

Un atacante podría inyectar código malicioso en Zoom para engañarlo y obtener acceso a la cámara web y al micrófono sin autorización del usuario.

  • Acceso sin permiso a reuniones privadas

Cada llamada de Zoom tiene un número de identificación de entre 9 y 11 dígitos. Se trata de un número generado aleatoriamente y que los participantes utilizan para obtener acceso a una reunión. Se descubrió que estas identificaciones de reuniones son fáciles de adivinar e incluso se pueden obtener por fuerza bruta, lo cual permite a cualquiera entre a las reuniones.

  • Envío de información a terceros y otras formas de monitoreo

La semana pasada, Zoom actualizó su aplicación iOS para solucionar una falla que permitía el envío de datos del dispositivo a Facebook. Zoom luego tuvo que reescribir partes de su política de privacidad tras este incidente.

Varias agrupaciones vinculadas a la defensa de la privacidad de usuarios también plantearon su inquietud respecto de una función de seguimiento de asistentes que les permite a los anfitriones de la reunión rastrear si los participantes tienen su aplicación Zoom a la vista en una PC o si es simplemente está en segundo plano.

Por otra parte, un grupo de defensores de los derechos digitales también le pidió a Zoom que publicara un informe de transparencia el mes pasado, para compartir el número de solicitudes de datos de los usuarios que recibe por parte de la policía y los gobiernos. Zoom dijo en su momento que estaba considerando la solicitud, pero aún no publicó un informe de este tipo, según menciona The Verge.

  • No cuenta con cifrado de extremo a extremo en las videoconferencias

Si bien Zoom afirma en su sitio web que puede “asegurar una reunión con cifrado de extremo a extremo”, la compañía se vio obligada a admitir que en realidad esto no es así. “No es posible habilitar el cifrado E2E para las reuniones de video de Zoom”, dijo un vocero de la compañía en un comunicado enviado al sitio The Intercept, después de que la publicación revelara que Zoom en realidad está usando cifrado TLS y no de extremo a extremo.

En la práctica, eso significa que los datos se cifran entre el usuario y los servidores de Zoom. Pero el término cifrado de extremo a extremo generalmente se refiere a proteger el contenido entre los usuarios sin ningún tipo acceso de la empresa, tal como lo hacen Signal o WhatsApp. Pero Zoom no ofrece ese nivel de cifrado.

Dejá tu comentario