Check Point descobre vulnerabilidades na plataforma Zoom

A Check Point Research, a área de Threat Intelligence da Check Point Software Technologies Ltd. descobriu vulnerabilidades graves na plataforma de videoconferência Zoom. A plataforma Zoom é um serviço muito popular na área empresarial, o qual conta com mais de 60% das empresas que constam na lista da Fortune 500 e que contam com mais de 74.000 clientes em todo o mundo.

Os Investigadores da empresa assinalam que os ciber-criminosos podiam espiar os resultados dos Zoom Meetings e verificar os IDs presentes durante o Zoom Meeting, o que provocou à Zoom a necessidade de implementar uma série de alterações na área de segurança.

A Check Point Research identificou uma grande falha de segurança no Zoom, porque os hackers tinham a capacidade de gerar e verificar facilmente os IDs presentes durante as conversações. Através desta vulnerabilidade era possível, espiar as conversas e aceder a todo o conteúdo partilhado durante a conversação na plataforma (aúdio, vídeo ou qualquer outro tipo de documento).

Como funciona esta vulnerabilidade?

Os identificadores de reuniões do Zoom são pontos de acesso para os participantes conseguirem aceder às reuniões que se celebram através desta aplicação. Normalmente, estes números de identificação são formados por figuras de 9 a 11 dígitos que são incluídos na URL (por exemplo, https://zoom.us/j/93XXX9XXX5). Os investigadores da Check Point, descobriram também que os hackers conseguiam ter acesso a longas listas de IDs de reuniões realizadas no Zoom. Após terem acesso às listas, utilizavam técnicas de automatização para verificar quais as reuniões no Zoom que não utilizavam password, de modo a conseguirem aceder à mesma.

A Check Point já informou a Zoom destas falhas de segurança, e colaborou até à hora de saída da publicação, de modo a primeiro garantir a segurança dos utilizadores. Como consequência, a empresa já introduziu as seguintes funcionalidades na sua plataforma:

• Passwords Padrão: as passwords são adicionadas por defeito em todas as reuniões agendadas.
• Permite que os utilizadores adicionem passwords: os utilizadores podem adicionar uma password às suas reuniões já agendadas e caso seja queiram podem receber instruções via correio eletrónico sobre como podem realizar todo este processo.
   
• Utilização de passwords a nível da conta e do grupo: o administrador da conta pode modificar as configurações da password e aplicá-las a nível da conta e do grupo.
• Validação do ID da reunião: O Zoom já não vai indicar automaticamente se um ID de reunião é válido ou não, pelo que, cada tentativa, a página vai carregar e vai tentar unir-se à reunião. Por tanto, um ciber-criminoso não conseguirá delimitar rapidamente o número de reuniões que tem para tentar aceder.
• Bloqueador de dispositivos: as tentativas repetidas de procura por um ID de reunião vão fazer com o dispositivo fique bloqueado durante um determinado período de tempo.

Eusébio Nieva, director técnico da Check Point de Espanha e Portugal assinala que “cada vez mais se usam aplicações deste tipo em âmbito profissional, sobretudo para facilitar a comunicação na hora de realizar reuniões com pessoas que se encontram em localizações diferentes. Por este motivo, é fundamental garantir a segurança na hora de utilizar este tipo de serviços, pelo que se deve ter em conta quando pretendemos partilhar informação confidencial, se este tipo de conteúdo cai nas mãos erradas, pode tornar-se num problema muito grave para a segurança da entidade corporativa em questão”.