¿Utiliza Zoom? Por supuesto que sí. Después de que la pandemia de coronavirus azotara América del Norte y Europa en marzo de 2020, aparentemente todos los que tenían que empezar a trabajar, ir a la escuela o incluso socializar desde casa empezaron a utilizar el servicio de videoconferencia.
Pero, vaya, había problemas de crecimiento. Zoom pasó de 10 millones de usuarios diarios en diciembre de 2019 a 300 millones de usuarios diarios en abril de 2020. Sus prácticas de seguridad y privacidad fueron objeto de un estricto escrutinio, y a los expertos no les gustó lo que encontraron.
Resultó que El cifrado de extremo a extremo de Zoom no era del todo completo, que otros asistentes a la reunión de Zoom podían ver mucho sobre usted y que los bromistas y los adolescentes aburridos podían”bombardear”reuniones públicas con contenido impactante o grosero.
Las políticas de privacidad de Zoom también parecían otorgarle a Zoom el derecho a hacer lo que quisiera con los datos personales de los usuarios.
La mayoría de esos defectos se han solucionado o mitigado desde la primavera de 2020, pero son más recientes los problemas parecen surgir de forma regular. Tenemos una lista actualizada de lo que salió mal con Zoom, lo que se ha solucionado y lo que sigue siendo un problema abierto, después de que le brindamos algunos consejos sobre cómo hacer que Zoom sea más seguro de usar.
Con todos estos problemas, la gente ha estado buscando alternativas a Zoom, así que consulte nuestro Skype vs Zoom cara a cara para vea cómo una antigua aplicación de video se ha adaptado para videoconferencias. También comparamos Zoom y Google Hangouts .
Cómo para hacer que Zoom sea más seguro de usar
A menos que esté discutiendo secretos estatales o corporativos, o divulgando información médica personal a un paciente, Zoom debería estar bien para usar. Es fácil de configurar , fácil de usar y permite hasta 100 personas se unen a una reunión de forma gratuita. Simplemente funciona.
Para las clases escolares, las reuniones después del trabajo o incluso las reuniones en el lugar de trabajo que se ciñen a la rutina del trabajo, no hay mucho riesgo al usar Zoom. Es probable que los niños sigan acudiendo a él, ya que incluso pueden usar filtros de Snapchat en Zoom .
Esto es lo que puede hacer para que Zoom sea más seguro:
-Configurar Autenticación de dos factores de Zoom para proteger su cuenta.
-Únase a las reuniones de Zoom a través de su navegador web en lugar de a través del software de escritorio Zoom. La versión del navegador web obtiene mejoras de seguridad más rápido y”se coloca en una caja de arena”para limitar los problemas de seguridad, señala la compañía antivirus Kaspersky .
Cuando hace clic en un enlace para unirse a una reunión, su navegador abrirá una nueva pestaña y le pedirá que use o instale el software de escritorio Zoom. Pero hay un enlace más pequeño para”unirse desde su navegador”. Haga clic en eso en su lugar.
-Solicite a los participantes de la reunión de Zoom que inicien sesión con una contraseña si está organizando una reunión. Eso hará que Zoom-bombing mucho menos probable.
Guías prácticas de Zoom
Todo lo que ha ido mal con Zoom últimamente
Hemos puesto los problemas de Zoom más recientes en la parte superior y separados problemas más antiguos en los que no se han resuelto, los que se han solucionado y los que no encajan en ninguna de las categorías.
31 de julio de 2021: Zoom resuelve una demanda colectiva
Zoom llegó a un acuerdo provisional en una demanda colectiva federal que alegaba que la empresa escatimó en seguridad, engañó usuarios y datos personales de usuarios compartidos con terceros sin notificación o consentimiento.
De acuerdo con el acuerdo, que aún no ha sido aprobado por un juez, Zoom pagará $ 85 millones para ser distribuidos a cualquiera que tenga un Zoom cuenta del consumidor entre marzo de 2016 y no w. (Los titulares de cuentas de Zoom empresariales y gubernamentales no forman parte de este litigio).
Los usuarios de Zoom que pagan son elegibles para recibir el 15% de sus tarifas de suscripción o $ 25, lo que sea mayor; los usuarios que no pagan son elegibles para recibir $ 15. Los miembros conocidos de la clase recibirán una notificación por correo electrónico o correo ordinario de que pueden presentar una reclamación, y otros podrán utilizar el sitio web www.zoommeetingsclassaction.com cuando esté disponible.
Zoom no admite irregularidades como parte del asentamiento.
4 de junio: nueva política de privacidad de Zoom
Zoom ha publicado un” más simple, más claro “política de privacidad que refleja el hecho de que el servicio de reuniones en línea ha”cambiado de un producto principalmente centrado en la empresa a uno que también es utilizado ampliamente por individuos”durante el COVID-19 pandemia.
La política de privacidad actualizada incluye más detalles sobre quién puede”ver, guardar y compartir”el contenido de la reunión de Zoom y los tipos de datos que Zoom recopila de los dispositivos de los usuarios.
Puede leer la “declaración”de privacidad de Zoom completamente actualizada aquí .
1 de mayo: Zoom presenta notificaciones de privacidad
En una publicación de blog, Zoom anunció que había agregado notificaciones de privacidad a la última versión de su software de cliente de escritorio.
“Los usuarios verán nuevas notificaciones en el producto diseñadas para facilitar la comprensión de quién puede ver, guardar y compartir su contenido e información cuando se unen a reuniones y experiencias alojadas en Zoom”, dice la publicación.
Las notificaciones aparecen en la ventana de chat de la reunión como un botón con la etiqueta”¿Quién puede ver sus mensajes?”Haga clic con el mouse en eso y aparecerá una burbuja de notificación con la respuesta.
“Los usuarios encontrarán información similar cuando utilicen otras funciones de la reunión”, dice la publicación del blog,”como transcripción, encuestas y preguntas y respuestas”.
Agregó que las actualizaciones futuras incluirían notificaciones cuando el anfitrión o participante de una reunión use una aplicación de transcripción o programación de Zoom durante una reunión.
Jueves 8 de abril: la falla de Zoom permite que un pirata informático se apropie de PC y Mac
Dos investigadores demostraron en el concurso Pwn2Own que podían hacerse cargo de forma remota de PC con Windows y Mac mediante el uso de al menos una vulnerabilidad previamente desconocida en la aplicación de escritorio Zoom.
Afortunadamente, las únicas personas que comprenden completamente cómo funciona este exploit son los dos investigadores y el propio Zoom, que está funcionando en una solución. Las posibilidades de que este ataque se use”en la naturaleza”son bajas, pero si le preocupa, use la interfaz del navegador Zoom en su lugar durante las reuniones hasta que se solucione.
Viernes 19 de marzo: Flaw permite que otros Los usuarios de Zoom ven demasiado
Zoom permite que los participantes de la reunión compartan todas las pantallas de sus computadoras, parte de sus pantallas o solo ventanas de aplicaciones específicas con otras personas en la misma reunión.
Dos investigadores alemanes descubrieron que, por un breve momento, el toda la pantalla puede ser visible incluso cuando el usuario de Zoom que comparte la pantalla tiene la intención de que solo sea parte de la pantalla. Cualquier participante que grabe la reunión podría congelar los fotogramas durante la reproducción y ver información potencialmente confidencial.
Zoom dijo que estaba trabajando para solucionar el problema, pero en el momento de escribir este artículo, la falla aún estaba presente en la última versión del software de cliente de escritorio Zoom para al menos Windows y Linux.
Martes, 23 de febrero: El chat encriptado de Keybase de Zoom corrige una falla seria
Keybase, una red social encriptada El sistema de verificación de medios y la aplicación de chat comprados por Zoom en mayo de 2020 tenían un defecto grave que conservó imágenes en directorios en línea incluso después de que el usuario las hubiera eliminado.
La falla se informó a Zoom a principios de enero de 2021, y más tarde ese mes se lanzó una actualización del software Keybase para corregir la falla.
Lunes 8 de febrero: un estudio dice que tratar de detener los bombardeos con Zoom a menudo no funcionará
Un nuevo estudio realizado por investigadores de la Universidad de Boston y la Universidad de Binghamton encontró que los esfuerzos para detener el”bombardeo de Zoom”, como exigir contraseñas o hacer que los asistentes se queden en”salas de espera”, a menudo no funcionarán.
Esto se debe a que muchos ataques los llevan a cabo”personas con información privilegiada”que ya están autorizadas para participar en las reuniones.
“Nuestros hallazgos indican que la gran mayoría de las llamadas al bombardeo de Zoom no son realizados por atacantes que se tropiezan con invitaciones a reuniones o mediante la fuerza bruta de su ID de reunión, sino más bien por personas internas que tienen acceso legítimo a estas reuniones, en particular estudiantes en las clases de la escuela secundaria y la universidad”, afirma el documento, titulado” Un primer vistazo a Zoombombing “.
La”única defensa efectiva”contra tales ataques internos, argumenta el documento , es crear”enlaces de unión únicos para cada participante”.
Viernes 29 de enero: la ciudad trabaja para prohibir el bombardeo de Zoom
Plagado por una epidemia de bombardeo de Zoom durante la ciudad-reuniones de asamblea, la ciudad de Juneau, Alaska, está explorando formas de prohibir la práctica.
“Hemos tenido algunas a nivel de asamblea, hemos tenido algunas a nivel de junta escolar, hemos tenido algunos en algunos reuniones de la junta del comité”, dijo el abogado de la ciudad Rob Palmer, según el sitio web de la estación de radio KTOO .
La policía de la capital de Alaska ha tenido dificultades para localizar a los bombarderos Zoom. La ciudad espera que al hacer que la práctica sea ilegal, pueda obligar a Zoom a entregar información que identifique a los delincuentes digitales.
Lunes 21 de diciembre: Ejecutivo de Zoom acusado de ser espía chino
En un anuncio explosivo, EE. UU. El Departamento de Justicia dijo que había emitido una orden de arresto contra el ex ejecutivo de Zoom, Jin Xinjiang, también conocido como Julien Jin, quien hasta hace poco había servido como enlace entre Zoom y el gobierno chino.
Estados Unidos acusó Jin de usar su puesto para interrumpir y terminar las reuniones de Zoom entre los usuarios de Zoom con sede en EE. UU. Que conmemoran el aniversario de la masacre de la Plaza de Tiananmen de 1989 y para proporcionar información al gobierno chino sobre los usuarios de Zoom y las reuniones de Zoom. Se cree que Jin reside en China.
Jin supuestamente recibió ayuda de co-conspiradores anónimos que crearon cuentas de correo electrónico falsas y cuentas de Zoom a nombre de disidentes chinos conocidos”para fabricar pruebas de que los anfitriones y los participantes en las reuniones para conmemorar la masacre de la Plaza de Tiananmen apoyaban a organizaciones terroristas, incitaban a la violencia o distribuían pornografía infantil”.
El Departamento de Justicia dijo que el gobierno chino utilizó la información proporcionada por Jin para tomar represalias contra los usuarios de Zoom en China o las familias residentes en China de usuarios de Zoom fuera de China.
El anuncio del Departamento de Justicia y orden de arresto se refiere solo a una”Compañía-1″sin nombre como empleador de Jin, pero en una publicación de blog, Zoom admitió que era la empresa y que había estado realizando su propia investigación después de recibir una citación del gobierno de EE. UU. en junio de 2020.
La publicación explicaba además que Jin había sido contratado por Zoom en octubre de 2019 como parte de un acuerdo con el gobierno chino, que en septiembre de 2019 tenía”desactivamos nuestro servicio en China sin previo aviso”.
El precio de volver a activar Zoom en China fue contratar”un contacto interno para las solicitudes de las fuerzas del orden”, es decir, Jin, y transferir datos de los usuarios chinos a los servidores de China. El servicio de Zoom se restableció en China en noviembre de 2019, y un año después se emitió la orden de arresto contra Jin del Departamento de Justicia.
“Durante el curso de nuestra investigación, supimos que este ex empleado violó las políticas de Zoom al , entre otras cosas, intentar eludir ciertos controles de acceso internos”, dijo Zoom.”Hemos rescindido el empleo de esta persona”.
Zoom admitió que Jin”compartió o dirigió el intercambio de una cantidad limitada de datos de usuarios individuales con las autoridades chinas”y que la información de”menos de diez…. usuarios no basados en China”también se habían proporcionado a China.
Lunes, 7 de diciembre: Zoom sobre estafas de phishing
La Better Business Bureau advierte a los usuarios de Zoom que los estafadores intentan robar sus nombres de usuario y contraseñas a través de correos electrónicos de phishing y mensajes de texto, informes Threatpost .
Los mensajes dicen le dice que”su cuenta de Zoom ha sido suspendida”o que”se perdió una reunión”, y ofrece un vínculo útil para volver a iniciar sesión. Pero no caiga en el anzuelo: la página de inicio de sesión es realmente una trampa para capturar su Zoom credenciales de usuario, con las que los delincuentes pueden usar o incluso robar su cuenta de Zoom.
Lunes 16 de noviembre: Zoom finalmente rompe el Bombardeo de Zoom
Uno de los mayores problemas con Zoom ha Ha sido un”bombardeo de Zoom”, en el que los participantes no invitados bloquean una reunión de Zoom y la interrumpen. Durante el fin de semana, Zoom lanzó dos nuevas funciones para combatir esto.
Uno,”Suspender las actividades de los participantes”, permite al anfitrión de la reunión pausar la reunión, expulsar a los participantes perturbadores y luego reanudar la reunión. El otro,”Informe de los participantes”, amplía a los participantes de la reunión la capacidad de informar sobre los participantes perturbadores, un remedio que anteriormente solo se había dado a los anfitriones de la reunión.
Martes 10 de noviembre: La FTC dice que Zoom mintió sobre seguridad
La Comisión Federal de Comercio anunció que Zoom”engañó a los usuarios”y”participó en una serie de prácticas engañosas e injustas” con respecto a su propia seguridad. La FTC citó el falso cifrado de extremo a extremo descubierto en marzo y software que Zoom instaló en Mac sin autorización en 2018 y 2019.
Zoom debe aceptar revisiones de seguridad internas anuales y revisiones de seguridad externas cada dos años y debe implementar una vulnerabilidad. programa de gestión. Otra estipulación fue que Zoom ofrezca a los clientes autenticación multifactor , que ya ha implementado.
Viernes 6 de noviembre: fisgoneo de pulsaciones de teclas con zoom
Investigadores de Texas y Oklahoma descubrieron que es posible saber lo que alguien está escribiendo durante una llamada de Zoom con solo mirar sus hombros y brazos.
Usando una computadora, el equipo de investigación pudo averiguar las contraseñas de las personas hasta el 75% del tiempo, dependiendo de la resolución de la cámara y si el sujeto llevaba una camisa con mangas o tenía el pelo largo.
Cualquier tipo de plataforma de videoconferencia podría usarse para esto, dijeron los investigadores, al igual que los videos de YouTube o las plataformas de transmisión como Twitch.
Martes 27 de octubre
La función de cifrado de extremo a extremo de Zoom finalmente se puso en marcha, excepto en iOS, donde tuvo que esperar la aprobación de Apple. Tenemos instrucciones sobre cómo habilitar el cifrado de extremo a extremo de Zoom .
Miércoles 15 de octubre
Después de un largo período de tiempo sin noticias de Zoom, la compañía anunció que el cifrado de extremo a extremo en el que había estado trabajando durante muchos meses pronto estará disponible para pruebas beta .
Los usuarios deberán esperar una actualización del software del cliente Zoom en la tercera semana de octubre. Los anfitriones de la reunión decidirán si hacer una reunión de Zoom encriptada de un extremo a otro. Esas reuniones no funcionarán (por ahora) para los usuarios que intenten unirse a través de la interfaz del navegador web o por teléfono.
Viernes 31 de julio
Si recuerda que la web Zoom La interfaz estuvo fuera de servicio durante unos días en abril de 2020, ahora sabemos por qué: la empresa estaba solucionando una falla de seguridad muy grave que podría haber permitido que cualquiera se uniera a una reunión privada de Zoom.
Investigador de seguridad británico Tom Anthony detalla en su blog esto semana, descubrió que podía hacer infinitas suposiciones aleatorias sobre los PIN de 6 dígitos que Zoom asigna a las reuniones privadas. Esas son un millón de posibilidades por las que pasar, lo que puede ser difícil para un ser humano, pero no es difícil para una PC con una potencia decente que ejecuta varios subprocesos.
Anthony descubrió que podía ingresar a las reuniones de Zoom en aproximadamente media hora , Da o toma. Eso es mucho antes de que terminen muchas reuniones.
La falla está solucionada ahora, por lo que no necesita preocuparse por esa vía particular del bombardeo de Zoom.
ESTADO: Corregido.
Viernes 10 de julio
Un investigador de seguridad sin nombre encontró una falla crítica en el software del cliente de reuniones Zoom para Windows que permitiría a un pirata informático hacerse cargo de forma remota de cualquier PC con Windows 7 o anterior. Zoom corrigió la falla con una actualización de software poco después de que la falla se hiciera pública.
ESTADO: Corregido.
Miércoles 17 de junio: Zoom cuevas a los críticos , ofrecerá cifrado de extremo a extremo para todos
Retrocediendo después de las críticas sostenidas de los defensores de la privacidad, anunció Zoom en una publicación de blog el 17 de junio de que su próximo cifrado de extremo a extremo (E2E) no sería solo para usuarios pagos. más. Los millones de personas que usan Zoom de forma gratuita para la escuela, la vida social y el trabajo también obtendrían cifrado de extremo a extremo.
“Hemos identificado un camino a seguir que equilibra el derecho legítimo de todos los usuarios a la privacidad y la seguridad de los usuarios en nuestra plataforma”, escribió el director ejecutivo Eric S. Yuan.”Esto nos permitirá ofrecer E2EE como una función complementaria avanzada para todos nuestros usuarios en todo el mundo, gratis y de pago, mientras mantenemos la capacidad de prevenir y combatir el abuso en nuestra plataforma”.
Pero si es un usuario gratuito que desea E2E, primero deberá verificar su identidad en Zoom mediante una contraseña de un solo uso o un servicio similar. Esto dificultará las reuniones de”bomba de zoom”.
El cifrado E2E seguirá siendo una función opcional, recordó Yuan, porque cuando se activa, nadie puede unirse a una reunión por teléfono o con ciertos equipos de teleconferencia de oficina. Dependerá de los anfitriones de la reunión si activan E2E.
Viernes 12 de junio
Zoom está en problemas en los EE. UU. Por la libertad de expresión y la censura después, cediendo a las demandas del gobierno chino , suspendió temporalmente las cuentas de tres disidentes chinos que estaban organizando reuniones abiertas para conmemorar el 4 de junio aniversario de la Masacre de la Plaza de Tiananmen.
La empresa se disculpó por las acciones en una publicación de blog del 11 de junio y dijo que desarrollaría una forma de bloquear a los participantes de la reunión desde ciertos lugares (es decir, China) sin cerrar las reuniones por completo.
Eso no fue suficiente para satisfacer a más de una docena de congresistas y senadores estadounidenses de ambos partidos, que escribieron cartas al director ejecutivo de Zoom, nacido en China, Eric S. Yuan, exigiendo saber qué tan acogedora era su empresa con Beijing. gobierno.
Jueves 4 de junio: Cisco Talos revela dos fallas graves de Zoom
Talos , una firma de investigación de seguridad de la información propiedad de Cisco, reveló el 3 de junio que había encontrado dos fallas graves en las aplicaciones cliente de Zoom. ambos ahora han sido parcheados.
El primer defecto habría permitido a un atacante utilizar un GIF animado colocado en un chat de reunión de Zoom para piratear el software del cliente de Zoom en las máquinas de otras personas para forzar la instalación de malware o, como dijo Talos,”lograr la ejecución de código arbitrario”.
El segundo defecto también implica la función de chat en el software de cliente de reuniones Zoom, con posibles consecuencias igualmente graves. El problema era que Zoom no validaba el contenido de los archivos comprimidos compartidos, como los archivos.zip.
Un atacante podría haber enviado malware en forma de archivo comprimido a un usuario a través del chat de reunión de Zoom, y el cliente de Zoom del usuario habría guardado y abierto el malware dentro del directorio de la aplicación Zoom.
Peor aún, si el usuario guardara el archivo comprimido de Zoom en otro lugar de la PC, como en el escritorio, el atacado podría enviar una versión alterada del primer archivo con el mismo nombre.
Zoom abriría la segunda versión (pero no la primera) automáticamente, permitiendo al malware”plantar binarios en rutas casi arbitrarias y… potencialmente sobrescribir archivos importantes y llevar a la ejecución de código arbitrario”.
ESTADO: Fijo.
Lunes 1 de junio
El próximo cifrado de extremo a extremo de Zoom es principalmente para usuarios de pago, como dijo el propio Zoom el 7 de mayo. Pero Alex Stamos, un buen conocido experto en seguridad de la información que consulta a Zoom sobre cuestiones de seguridad, dijo Reuters la semana pasada que las escuelas y otras empresas sin fines de lucro podrían obtener también el cifrado de extremo a extremo para sus cuentas.
“El director ejecutivo está analizando diferentes argumentos”, dijo Stamos a Reuters.”El plan actual es para clientes pagos más cuentas empresariales donde la empresa sabe quiénes son”.
Miércoles 27 de mayo
Todos los administradores de Zoom Rooms deben actualice su software por 30 de mayo, dijo Zoom en una publicación de blog el 26 de mayo.
La actualización a Zoom 5.0 proporcionará”mayor seguridad y controles de privacidad de host”, dijo Zoom, pero también”cumplirá con los requisitos mínimos de la versión 5.0 o superior”. para el cifrado GCM, que estará habilitado y será necesario para todas las reuniones el 30 de mayo”.
Más información sobre la actualización de Zoom Rooms en aquí . Las actualizaciones 5.0 para el software del cliente Zoom se enviaron a los usuarios de Windows, Mac, Android, iOS, Chrome OS, Amazon Fire y Linux a fines de abril.
Jueves, 21 de mayo
Dos instancias más de instaladores de Zoom corruptos fueron encontrados por investigadores de Trend Micro.
El primero abre una puerta trasera en una PC; el segundo espía al propietario de la PC con capturas de pantalla, keylogging y secuestro de la cámara web y envía la PC a la botnet Devil Shadow.
Ambos instaladores instalan el cliente de software Zoom, por lo que es posible que las víctimas no sepan. Como siempre, obtenga su software Zoom directamente desde el sitio web de Zoom en Zoom.us, o únase a una reunión de Zoom directamente desde su navegador web.
Lunes 18 de mayo
Zoom sufrió un interrupción inexplicable Domingo, 17 de mayo, renderizado no disponible para miles de usuarios en los EE. UU. y el Reino Unido. La interrupción, que comenzó el domingo por la mañana, hora del Reino Unido, duró varias horas y afectó los servicios religiosos en línea en ambos países. Incluso el información diaria sobre el coronavirus se vio afectada, lo que anuló la capacidad de los periodistas para hacer preguntas a través de Zoom.
Algunos usuarios informaron en Twitter que parecía que cerrar la sesión de las cuentas de Zoom y luego volver a iniciarla para resolver el problema.
La página de estado de Zoom señaló que se había realizado una actualización de backend el domingo por la mañana temprano, pero no parecía haber ningún vínculo entre esa actualización y la interrupción que comenzó unas horas después.
La página de estado de Zoom decía en ese momento que las interrupciones”parecen estar limitadas a un subconjunto de usuarios”y que Zoom estaba”trabajando para identificar la causa raíz y el alcance de este problema”. Unas horas más tarde, el problema se declaró”resuelto”sin más detalles.
Martes 12 de mayo
Es posible que los ciberdelincuentes hayan registrado cientos de nuevas direcciones de sitios web relacionados con Zoom en los últimos tiempos. semanas, según investigadores de la firma de seguridad israelí Check Point .
Muchos de estos sitios se utilizan en ataques de phishing para obtener los nombres de usuario y contraseñas de Zoom de las víctimas, y estafas similares están aprovechando plataformas de videoconferencia rivales como Google Meet y Microsoft Teams.
Durante el fin de semana, vándalos en línea secuestraron la ceremonia de graduación en la Universidad de la Ciudad de Oklahoma , reemplazando el video de Zoom con lenguaje y símbolos racistas. No estaba claro de inmediato si esto fue el resultado de un bombardeo de Zoom regular o si los atacantes usaron métodos menos conocidos para interrumpir la transmisión de video.
Viernes 8 de mayo
Zoom prohíbe a los usuarios gratuitos las llamadas de asistencia técnica
Zoom anunciado en mayo 7 que debido a que su personal de soporte técnico está abrumado con las llamadas, podría brindar asistencia técnica personal solo a los”propietarios y administradores”de cuentas pagas.
En otras palabras, cualquier el usuario, propietario o administrador de una cuenta de Zoom gratuita y los usuarios finales de cuentas de pago no tendrán derecho a ayuda humana. En su lugar, tendrán que confiar en las preguntas frecuentes y la lista de procedimientos de Zoom página de recursos en línea .
Por ahora, esta disposición se aplica solo a mayo y junio de 2020. Si el bloqueo del coronavirus dura más que eso, es posible que Zoom tenga que contratar más personal de soporte técnico.
Zoom promete reforzar la seguridad de acuerdo con la procuradora general de Nueva York
La oficina de la procuradora general del estado de Nueva York, Letitia James, llegó a un acuerdo con Zoom el 7 de mayo tras una investigación sobre la seguridad y prácticas de privacidad.
No hay muchas cosas nuevas en el acuerdo. La mayoría de las quejas de NYAG con Zoom involucraron problemas discutidos en esta historia que está leyendo. La mayoría de las estipulaciones que Zoom acordó son cosas que la empresa ya está haciendo, incluida la obligatoriedad de las contraseñas y el uso de un mejor cifrado.
A largo plazo, Zoom tiene que realizar revisiones periódicas del código y realizar ejercicios de prueba de penetración anuales, en los que los piratas informáticos pagados intentan romper las defensas de la empresa.
Solo dos cosas nuevas afectarán directamente a los consumidores. Zoom tiene que reforzar la seguridad de las contraseñas evitando los ataques automatizados de relleno de contraseñas (como agregar CAPTCHA a las páginas de inicio de sesión) y debe restablecer automáticamente las contraseñas comprometidas.
También tiene que actualizar sus políticas de uso aceptable para prohibir”las conductas abusivas incluyen el odio hacia otros por motivos de raza, religión, etnia, origen nacional, género u orientación sexual”.
Francamente, estas son políticas estándar de larga data en muchas otras empresas en línea, por lo que nos sorprende un poco que aún no fueran políticas de Zoom.
Jueves 7 de mayo
Zoom es comprando la pequeña empresa emergente de la ciudad de Nueva York Keybase en un intento por implementar rápidamente cifrado de extremo a extremo para reuniones de Zoom, anunció el director ejecutivo de Zoom, Eric S. Yuan . El precio de compra u otros términos del trato no fueron revelados.
Keybase crea un software fácil de usar para encriptar mensajes y publicaciones en redes sociales de manera fácil y segura.
En marzo, Zoom tuvo que admitir que su codificado cifrado”de extremo a extremo”no era real porque los propios servidores de Zoom siempre pueden acceder al contenido de las reuniones. Una vez que se incorpore la tecnología de Keybase, ese ya no será siempre el caso.
Miércoles 6 de mayo
Las contraseñas de las reuniones y las salas de espera se requerirán de forma predeterminada para todas las reuniones de Zoom, gratuitas o pagado, a partir del 9 de mayo, anuncio de Zoom . Solo los hosts podrán compartir sus pantallas de forma predeterminada, pero al igual que las otras configuraciones, eso se puede cambiar.
Martes, 5 de mayo: el director ejecutivo de Zoom, Yuan, aborda cuestiones de seguridad y nacionalidad
En una empresa entrada de blog , el director ejecutivo de Zoom, Eric S. Yuan, dijo que el aumento masivo en el uso de Zoom desde el comienzo del bloqueo del coronavirus había been”challenging,”but also provided”opportunities for us to drive meaningful change and improvement.”
Yuan admitted that”we failed to set pre-configured security features for our new customers, especially for schools,”referring to meeting passwords and waiting rooms.”Instead, we assumed they would understand our platform like our business customers understand our platform and customize these features themselves.”
That resulted in”uninvited, offensive, and sometimes even truly evil people disrupting meetings,”Yuan wrote. (Such a person disrupted a Zoom meeting on sexual violence in the Bay Area last week.)
Yuan also addressed rumors about his own, and Zoom’s, ties to China. He said he had lived in the U.S. since 1997 and had become a U.S. citizen in 2007, and that Zoom is a fully American company.
“Similar to many multinational technology companies, Zoom has operations and employees in China…. operated by subsidiaries of the U.S. parent company,”Yuan wrote.”Our operations in China are materially similar to our U.S. peers who also operate and have employees there.”
“We have 1 (one) co-located data center in China [that is] run by a leading Australian company and is geofenced,”Yuan added.”It exists primarily to satisfy our Fortune 500 customers that have operations or customers in China and want to use our platform to connect with them.”
Monday, May 4
A reporter for London’s Financial Times resigned after he was caught crashing internal Zoom meetings at rival London newspapers.
Mark Di Stefano announced his resignation on Twitter after The Independent documented how Di Stefano had last week joined an Independent staff meeting regarding pay cuts and furloughs, first under his own name, then anonymously.
Shortly thereafter, the Financial Times ran a story by Di Stefano about The Independent making cutbacks. Di Stefano cited his sources as”people on the call,”The Independent said.
The Independent also found that Di Stefano’s cellphone had earlier been used to access a Zoom meeting at the Evening Standard, another London newspaper. That meeting was followed by a Financial Times piece about Evening Standard furloughs and pay cuts.
Friday, May 1
Zoom isn’t the only video-conferencing platform to have questionable privacy policies, Consumer Reports said in a blog post: Cisco Webex, Microsoft’s Teams and Skype, and Google’s Duo, Meet and Hangouts do too.
“All three companies can collect data while you’re in a videoconference, combine it with information from data brokers and other sources to build consumer profiles, and potentially tap into the videos for purposes like training facial recognition systems,”Consumer Reports said.
Consumer Reports said you should know that everything in a video meeting may be recorded, either by the host or another participant.
It also recommended dialing into video-conference meetings over the phone, not creating accounts with the services if possible, and using”burner”email addresses otherwise.
Thursday, April 30
Zoom caught fibbing again
Zoom stock shares dipped nearly 9% Thursday, April 30, the day the company joined the NASDAQ 100 stock index.
After prodding from reporters at The Verge, Zoom admitted that it did not in fact have a recent peak of 300 million daily users, as stated in a blog post last week.
Rather, Zoom had a peak of 300 million daily”participants.”If you attend more than one Zoom meeting per day, then you’re counted as a separate”participant”each time.
“We unintentionally referred to these participants as’users’and’people,'”Zoom said in a statement to The Verge.”This was a genuine oversight on our part.”
So how many daily users does Zoom now have? The company hasn’t said.
More malware-embedded Zoom installers
Researchers at Trend Micro spotted another Zoom installer file that had been corrupted with malware.
In this case, it’s spyware that can turn on the webcam, take screenshots and log keystrkes, as well as collecting diagnostic data about the system it’s running on. It also installs a fully working version of the Zoom desktop client.
“Since the system downloaded a legitimate Zoom application version (4.6), it won’t make the users suspicious,”the Trend Micro team noted in a blog post.”However, the system has already been compromised at this point.”
You don’t need to install any software on your desktop to run Zoom. But if you must, then get that software only from the official website at https://zoom.us/download.
Wednesday, April 29
Zoom a target for foreign hackers
Zoom is a prime target for foreign spies, especially Chinese intelligence operatives, the Department of Homeland Security has warned U.S. government agencies and law-enforcement agencies, according to ABC News.
“Zoom’s sudden immense growth and use across both public and private sector entities in combination with its highly publicized cybersecurity issues creates a vulnerable, target-rich environment,”the DHS intelligence analysis purportedly says.”Any organization currently using–or considering using–Zoom should evaluate the risk of its use.”
Foreign spies would be interested in any internet-based communications medium that saw such a steep increase in growth. But the DHS report singled out China as a likely meddler in Zoom security because Zoom has a substantial number of staffers in that country.
“China’s access to Zoom servers makes Beijing uniquely positioned to target U.S. public and private sector users,”ABC News quoted the DHS report as stating.
However, Zoom in the past week has given paid meeting hosts the option of avoiding Zoom servers in specific regions, including China and North America. Unpaid Zoom hosts will by default use only servers in their home regions.
A Zoom spokesperson told ABC News that the DHS report was”heavily misinformed”and included”blatant inaccuracies.”
Tuesday, April 28
Zoom safer to use than Apple’s FaceTime?
A new report from Mozilla, the non-profit maker of the Firefox web browser, says that Zoom’s privacy and security policies and practices are better than those of Apple FaceTime.
Zoom scores 5/5 on encryption, password strength, updates, bug reporting and privacy, the report says, matching Skype, Signal, Bluejeans and Google’s trio of Duo, Hangouts and Meet.
FaceTime got only 4.5/5 because the Apple video-call service doesn’t require the user to log into the app independently.
Zoom phishing scam preys on work-from-home fears
A new Zoom phishing scam is sure to get the attention of anyone working from home during the coronavirus lockdown.
It seems to come from your employer’s HR department, and invites you to join a Zoom meeting starting in a few minutes to discuss possible termination of your employment.
If you click on the link in the email to join the meeting, you’re taken to a very real-looking Zoom login page. It’s fake. If you enter your credentials, then the crooks can take over your Zoom account.
Monday, April 27
Zoom 5.0 has been released
Zoom has finally updated its meeting-client software to version 5.0, announced last week. Here’s our guide on how to update to Zoom 5.0.
The update is not yet available for iOS, as Apple has to vet the software before the new version of the app can be pushed out. We also couldn’t see in the Google Play app store as of Monday afternoon Eastern time (April 27), but odds are it will appear soon.
Friday, April 24
Zoom company stock rose again Friday after the NASDAQ stock exchange announced that Zoom would join the NASDAQ 100 index Thursday, April 30.
No other company may have benefited more from the stay-at-home orders during the coronavirus crisis. It’s hard to imagine that Zoom would be joining the NASDAQ 100 if its daily traffic had not soared from 10 million users in December 2019 to 300 million in mid-April.
Thursday, April 23
Despite all the bad news about Zoom, the company’s stock price surged on Thursday, gaining 9% after the announcement that the number of daily users had risen to 300 million.
To put that in perspective, daily usage peaked at 200 million people per day in March, the company said on April 1. In December 2019, Zoom usage peaked at 10 million daily users.
Wednesday, April 22
In a somewhat misleading press announcement/blog post, Zoom trumpeted the arrival of version 5.0 of its desktop software for Windows, Mac and Linux.
The new version will include many of the security fixes we’ve recently seen for the Zoom web interface, including the abilities to kick out Zoom bombers from meetings, make sure meeting data doesn’t go through China, and put everyone waiting for a meeting in a”waiting room.”It also adds a security icon to the host screen and better encryption to Zoom meetings.
We checked the Zoom changelogs and discovered that the update won’t be available until Sunday, April 26.
Information scraping with fake Zoom client software
Cisco Talos researchers said Zoom’s meeting chat function made it too easy for outsiders to find all Zoom users in an particular organization.
If you had a valid Zoom account, Cisco Talos explained in a blog post, you could pretend that you worked at any organization and get the full names and chat IDs of every registered Zoom user whose email address used that organization’s email domain.
You would not have to verify that you worked there, and you wouldn’t even need to be in a Zoom meeting to get the information.
That information”could be leveraged to disclose further contact information including the user’s email address, phone number and any other information that is present in their vCard,”or digital business card, Cisco Talos wrote.
“This vulnerability could be exploited by a spear-phishing attack against known individuals with an organization in order to dump the email addresses of all the Zoom users within the organization,”the Cisco Talos post said.”Users who have recently had to install new software in order to set-up remote working may be particularly susceptible to socially-engineered emails that purport to instruct users to install a new or updated trojan horse’Zoom client’.”
Fortunately, Zoom has fixed this issue, which lay entirely on the server side.
STATUS: Fixed.
Tuesday, April 21
In a blog post April 20, Zoom said the option of excluding certain countries from call routing was now live. This will let Zoom meeting administrators avoid having meeting data routed through Zoom servers in China, the U.S., or seven other regions and countries.
New updates to the Zoom platform for the web interface rolled out April 19 include masking some participant personal information, such as email addresses or phone numbers, during meetings. Another change is that users who share the same email domain will no longer be able to search for each other by name.
Monday, April 20
The New York Times reported that Dropbox executives were so concerned about security flaws in Zoom that in 2018 Dropbox created its own secret bug-bounty program for Zoom flaws.
In other words, Dropbox would pay hackers for security vulnerabilities they found in Zoom. (Dropbox staffers used Zoom regularly, and Dropbox was an investor in Zoom.) The Times reported that Dropbox would confirm the flaws, then pass them along to Zoom so that Zoom could fix them.
Friday, April 17
Zoom meeting recordings are easy to find online, part 2
Zoom-meeting video recordings saved on Zoom’s cloud servers can be easily discovered and often viewed, a security researcher told Cnet.
Phil Guimond noticed that online recordings of Zoom meetings have a predictable URL structure and are thus easy to find. (The Washington Post reported last week on a similar issue with Zoom recordings that had been uploaded by users to third-party cloud servers. In those cases, the file names of meeting recordings followed a predictable pattern.)
Until Zoom pushed out a series of updates this past Tuesday, Zoom meeting recordings were not required to be password-protected.
Guimond built a simple tool that automatically searches for Zoom meeting recordings and tries to open them.
If a meeting has a password, his tool tries to brute-force access by running through millions of possible passwords. If a meeting recording is viewable, so is the Zoom meeting ID, and the attacker might be able to access future recurring meetings.
To defeat Guimond’s automated tool, Zoom added a Captcha challenge, which forces the would-be meeting-recording watcher to prove they’re a human. But, Guimond said, the URL pattern is still the same, and attackers could still try to open each generated result manually.
STATUS: Mitigated with additional obstacles against attack, but not really fixed.
Thursday, April 16
Zoom announced it was hiring Luta Security, a consulting firm headed by Katie Moussouris, to revamp Zoom’s”bug bounty”program, which pays hackers to find software flaws.
Moussouris set up the first bug-bounty programs at Microsoft and the Pentagon. In her own blog post, she announced that Zoom was bringing in other well-regarded information-security firms and researchers to improve its security.
In its weekly webinar, according to ZDNet, Zoom also said it would also let meeting hosts report abusive users, and newly hired security consultant Alex Stamos said Zoom would be switching to a more robust encryption standard after Zoom’s existing encryption was found to be lacking.
In other news, a congressman has complained that a congressional briefing held over Zoom on April 3 was”zoom-bombed” at least three times.
Wednesday, April 15
The head of Standard Chartered, a London-based multinational bank, has warned employees to nut use Zoom or Google Hangouts for remote meetings, citing security concerns, according to Reuters.
Standard Chartered primarily uses the rival Blue Jeans video-conferencing platform, according to two bank staffers who spoke anonymously.
Last year, Standard Chartered agreed to pay British and American regulators $1.1 billion after admitting the bank violated trade sanctions on Iran.
Zoom zero-day exploits on sale for $500,000
Hackers are apparently offering to sell two”zero-day”exploits in Zoom to the highest bidder, Vice reports.
Zero-days are hacks that take advantage of vulnerabilities the software maker doesn’t know about, and which users have little or no defense against.
Sources who told Vice about the zero-days said one exploit is for Windows and lets a remote attacker get full control of a target’s computer. The catch is that the attacker and the target have to be on the same Zoom call. Its asking price is $500,000.
“I think it’s just kids who hope to make a bang,”one unnamed source told Vice.
The other zero-day is said to be for macOS and to be less serious.
STATUS: Apparently unfixed.
Tuesday, April 14
Zoom announced April 13 that users of paid Zoom accounts would be able to choose through which region of the world their data would be routed: Australia, Canada, China, Europe, India, Japan/Hong Kong, Latin America or the United States.
This is a reaction to the discovery earlier in April that many Zoom meetings hosted by and involving U.S. residents had been routed through servers based in China, a country that retains the right to see anything happening on a domestically located server without a warrant.
Users of Zoom’s free service will have their data handled only by servers in thei r regions.
STATUS: This option is now available for paid Zoom users who use the web interface rather than the desktop software. The Zoom desktop software for Windows, Mac and Linux will be getting this April 26.
Open/unresolved issues
More than 500,000 Zoom accounts up for grabs
Usernames and passwords for more than 500,000 Zoom accounts are being sold or given away in criminal marketplaces.
These accounts were not compromised as the result of a Zoom data breach, but instead through credential stuffing. That’s when criminals try to unlock accounts by re-using credentials from accounts compromised in previous data breaches. It works only if an account holder uses the same password for more than one account.
STATUS: Unknown, but this isn’t Zoom’s fault.
2,300 sets of Zoom login credentials found online
Researchers from IngSights discovered a set of 2,300 Zoom login credentials being shared in a criminal online forum.
“Aside from personal accounts, there were many corporate accounts belonging to banks, consultancy companies, educational facilities, healthcare providers, and software vendors, amongst others,”IntSight’s Etay Maor wrote in a blog post April 10.
“While some of the accounts’only’included an email and password, others included meeting IDs, names and host keys,”Maor wrote.
Maor told Threatpost it didn’t seem like the credentials came from a Zoom data breach, given their relatively small number. He theorized that they came from”small lists and databases kept by other companies/agencies.”
It’s also possible that some of the credentials were the result of”credential stuffing.”That’s the (largely) automated process by which criminals try to log into websites by cycling through likely email addresses and likely passwords, and then harvest whatever yields a positive result.
STATUS: Unknown. This likely isn’t a Zoom issue per se.
Zoom’zero-day’exploits
Information-security researchers know of several Zoom”zero-day”exploits, according to Vice. Zero-days are exploits for software vulnerabilities that the software maker doesn’t know about and hasn’t fixed, and hence has”zero days”to prepare before the exploits appear.
However, one Vice source implied that other video-conferencing solutions also had security flaws. Another source said that Zoom zero-days weren’t selling for much money due to lack of demand.
STATUS: Unresolved until some of these flaws come to light.
Zoom compromised accounts traded online
Criminals are trading compromised Zoom accounts on the”dark web,”Yahoo News reported.
This information apparently came from Israeli cybersecurity firm Sixgill, which specializes in monitoring underground online-criminal activity. We weren’t able to find any mention of the findings on the Sixgill website.
Sixgill told Yahoo it had spotted 352 compromised Zoom accounts that included meeting IDs, email addresses, passwords and host keys. Some of the accounts belonged to schools, and one each to a small business and a large healthcare provider, but most were personal.
STATUS: Not really a bug, but definitely worth worrying about. If you have a Zoom account, make sure its password isn’t the same as the password for any other account you have.
Zoom installer bundled with malware
Researchers at Trend Micro discovered a version of the Zoom installer that has been bundled with cryptocurrency-mining malware, i.e. a coin-miner.
The Zoom installer will put Zoom version 4.4.0.0 on your Windows PC, but it comes with a coin-miner that Trend Micro has given the catchy name Trojan.Win32.MOOZ.THCCABO. (By the way, the latest Zoom client software for Windows is up to version 4.6.9, and you should get it only from here.)
The coin-miner will ramp up your PC’s central processor unit, and its graphics card if there is one, to solve mathematical problems in order to generate new units of cryptocurrency. You’ll notice this if you fans suddenly speed up or if Windows Task Manager (hit Ctrl + Shift + Esc) shows unexpectedly heavy CPU/GPU use.
To avoid getting hit with this malware, make sure you’re running one of the best antivirus programs, and don’t click on any links in emails, social media posts or pop-up messages that promise to install Zoom on your machine.
STATUS: Open, but this isn’t Zoom’s problem to fix. It can’t stop other people from copying and redistributing its installation software.
Zoom encryption not what it claims to be
Not only does Zoom mislead users about its”end-to-end encryption”(see further down), but its seems to be flat-out, um, not telling the truth about the quality of its encryption algorithm.
Zoom says it use AES-256 encryption to encode video and audio data traveling between Zoom servers and Zoom clients (i.e., you and me). But researchers at the Citizen Lab at the University of Toronto, in a report posted April 3, found that Zoom actually uses the somewhat weaker AES-128 algorithm.
Even worse, Zoom uses an in-house implementation of encryption algorithm that preserves patterns from the original file. It’s as if someone drew a red circle on a gray wall, and then a censor painted over the red circle with a while circle. You’re not seeing the original message, but the shape is still there.
“We discourage the use of Zoom at this time for use cases that require strong privacy and confidentiality,”the Citizen Lab report says, such as”governments worried about espionage, businesses concerned about cybercrime and industrial espionage, healthcare providers handling sensitive patient information”and”activists, lawyers, and journalists working on sensitive topics.”
STATUS: Unresolved. In a blog post April 3, Zoom CEO Eric S. Yuan acknowledged the encryption issue but said only that”we recognize that we can do better with our encryption design”and”we expect to have more to share on this front in the coming days.”
In Zoom’s announcement of the upcoming April 26 desktop-software update, Zoom said it would be upgrading the encryption implementation to a better format for all users by May 30.
Zoom software can be easily corrupted
Good software has built-in anti-tampering mechanisms to make sure that applications don’t run code that’s been altered by a third party.
Zoom has such anti-tampering mechanisms in place, which is good. But those anti-tampering mechanisms themselves are not protected from tampering, said a British computer student who calls himself”Lloyd“in a blog post April 3.
Needless to say, that’s bad. Lloyd showed how Zoom’s anti-tampering mechanism can easily be disabled, or even replaced with a malicious version that hijacks the application.
If you’re reading this with a working knowledge of how Windows software works, this is a pretty damning passage:”This DLL can be trivially unloaded, rendering the anti-tampering mechanism null and void. The DLL is not pinned, meaning an attacker from a 3rd party process could simply inject a remote thread.”
In other words, malware already present on a computer could use Zoom’s own anti-tampering mechanism to tamper with Zoom. Criminals could also create fully working versions of Zoom that have been altered to perform malicious acts.
STATUS: Unresolved.
Zoom bombing
Anyone can”bomb”a public Zoom meeting if they know the meeting number, and then use the file-share photo to post shocking images, or make annoying sounds in the audio. The FBI even warned about it a few days ago.
The host of the Zoom meeting can mute or even kick out troublemakers, but they can come right back with new user IDs. The best way to avoid Zoom bombing is to not share Zoom meeting numbers with anyone but the intended participants. You can also require participants to use a password to log into the meeting.
On April 3, the U.S. Attorney’s Office for the Eastern District of Michigan said that”anyone who hacks into a teleconference can be charged with state or federal crimes.”It’s not clear whether that applies only to eastern Michigan.
STATUS: There are easy ways to avoid Zoom bombing, which we go through here.
Leaks of email addresses and profile photos
Zoom automatically puts everyone sharing the same email domain into a”company”folder where they can see each other’s information.
Exceptions are made for people using large webmail clients such as Gmail, Yahoo, Hotmail or Outlook.com, but not apparently for smaller webmail providers that Zoom might not know about.
Several Dutch Zoom users who use ISP-provided email addresses suddenly found that they were in the same”company”with dozens of strangers–and could see their email addresses, user names and user photos.
STATUS: Unresolved, but an April 19 Zoom software update for Zoom web-interface users makes sure users on the same email domain can no longer automatically search for each other by name. The Zoom desktop client software will get similar fixes April 26.
Sharing of personal data with advertisers
Several privacy experts, some working for Consumer Reports, pored over Zoom’s privacy policy and found that it apparently gave Zoom the right to use Zoom users’personal data and to share it with third-party marketers.
Following a Consumer Reports blog post, Zoom quickly rewrote its privacy policy, stripping out the most disturbing passages and asserting that”we do not sell your personal data.”
STATUS: Unknown. We don’t know the details of Zoom’s business dealings with third-party advertisers.
You can’war drive’to find open Zoom meetings
You can find open Zoom meetings by rapidly cycling through possible Zoom meeting IDs, a security researcher told independent security blogger Brian Krebs.
The researcher got past Zoom’s meeting-scan blocker by running queries through Tor, which randomized his IP address. It’s a variation on”war driving”by randomly dialing telephone numbers to find open modems in the dial-up days.
The researcher told Krebs that he could find about 100 open Zoom meetings every hour with the tool, and that”having a password enabled on the [Zoom] meeting is the only thing that defeats it.”
STATUS: Unknown.
Zoom meeting chats don’t stay private
Two Twitter users pointed out that if you’re in a Zoom meeting and use a private window in the meeting’s chat app to communicate privately with another person in the meeting, that conversation will be visible in the end-of-meeting transcript the host receives.
STATUS: Unknown.
Resolved/fixed issues
Zoom flaw allowed account hijacking
A Kurdish security researcher said Zoom paid him a bug bounty–a reward for finding a serious flaw–for finding how to hijack a Zoom account if the account holder’s email address was known or guessed.
The researcher, who calls himself”s3c”but whose real name may be Yusuf Abdulla, said if he tried to log into Zoom with a Facebook account, Zoom would ask for the email address associated with that Facebook account. Then Zoom would open a new webpage notifying him that a confirmation email message had been sent to that email address.
The URL of the notification webpage would have a unique identification tag in the address bar. As an example that’s much shorter than the real thing, let’s say it’s”zoom.com/signup/123456XYZ”.
When s3c received and opened the confirmation email message sent by Zoom, he clicked on the confirmation button in the body of the message. This took him to yet another webpage that confirmed his email address was now associated with a new account. So far, so good.
But then s3c noticed that the unique identification tag in the Zoom confirmation webpage’s URL was identical to the first ID tag. Let’s use the example”zoom.com/confirmation/123456XYZ”.
The matching ID tags, one used before confirmation and the other after confirmation, meant that s3c could have avoided receiving the confirmation email, and clicking on the confirmation button, altogether.
In fact, he could have entered ANY email address–yours, mine or [email protected]–into the original signup form. Then he could have copied the ID tag from the resulting Zoom notification page and pasted the ID tag into an already existing Zoom account-confirmation page.
Boom, he’d have access to any Zoom account created using the targeted email address.
“Even if you already linked your account with a Facebook account Zoom automatically unlink it and link it with the attacker Facebook account,”s3c wrote in his imperfect English.
And because Zoom lets anyone using a company email address view all other users signed up with the same email domain, e.g.”company.com”, s3c could have leveraged this method to steal ALL of a given company’s Zoom accounts.
“So if an attacker create an account with email address [email protected] and verify it with this bug,”s3c wrote,”the attacker can view all emails that created with *@companyname.com in Zoom app in Company contacts so that means the attacker can hack all accounts of the company.”
Zoom is fortunate that s3c is one of the good guys and didn’t disclose this flaw publicly before Zoom could fix it. But it’s such a simple flaw that it’s hard to imagine no one else noticed it before.
STATUS: Fixed, thank God.
Zoom removes meeting IDs from screens
Zoom has released updates for its Windows, macOS and Linux desktop client software so that meeting IDs will not display onscreen during meetings. British Prime Minister Boris Johnson accidentally displayed a Zoom meeting ID in a tweet, and the Belgian cabinet made a similar mistake.
‘Potential security vulnerability’with Zoom file sharing
In an”ask me anything”webinar in early April, Zoom CEO Eric S. Yuan said that Zoom had discovered”a potential security vulnerability with file sharing, so we disabled that feature.”
Until this week, participants in a Zoom meeting could share files with each other using the meeting’s chat function.
STATUS: Fixed.
Zoom cryptographic keys issued by Chinese servers
Those AES128 encryption keys are issued to Zoom clients by Zoom servers, which is all well and good, except that the Citizen Lab found several Zoom servers in China issuing keys to Zoom users even when all participants in a meeting were in North America.
Since Zoom servers can decrypt Zoom meetings, and Chinese authorities can compel operators of Chinese servers to hand over data, the implication is that the Chinese government might be able to see your Zoom meetings.
That’s got to be bad news for the British government, which has held at least one Cabinet meeting over Zoom.
STATUS: Apparently fixed. In a blog post April 3, Zoom CEO Eric S. Yuan responded to the Citizen Lab report by saying that”it is possible certain meetings were allowed to connect to systems in China, where they should not have been able to connect. We have since corrected this.”
Security flaw with Zoom meeting waiting rooms
Zoom advises meeting hosts to set up”waiting rooms”to avoid”Zoom bombing.”A waiting room essentially keeps participants on hold until a host lets them in, either all at once or one at a time.
The Citizen Lab said it found a serious security issue with Zoom waiting rooms, and advised hosts and participants to not use them for now. The Citizen Lab is not disclosing the details yet, but has told Zoom of the flaw.
“We advise Zoom users who desire confidentiality to not use Zoom Waiting Rooms,”the Citizen Lab said in its report.”Instead, we encourage users to use Zoom’s password feature.”
STATUS: Fixed. In a follow-up to their initial report. the Citizen Lab researchers disclosed that uninvited attendees to a meeting could nonetheless get the meeting’s encryption key from the waiting room.
“On April 7, Zoom reported to us that they had implemented a server-side fix for the issue,”the researchers said.
Windows password stealing
Zoom meetings have side chats in which participants can sent text-based messages and post web links.
But according to Twitter user @_g0dmode and Anglo-American cybersecurity training firm Hacker House, Zoom until the end of March made no distinction between regular web addresses and a different kind of remote networking link called a Universal Naming Convention (UNC) path. That left Zoom chats vulnerable to attack.
If a malicious Zoom bomber slipped a UNC path to a remote server that he controlled into a Zoom meeting chat, an unwitting participant could click on it.
The participant’s Windows computer would then try to reach out to the hacker’s remote server specified in the path and automatically try to log into it using the user’s Windows username and password.
The hacker could capture the password”hash”and decrypt it, giving him access to the Zoom user’s Windows account.
STATUS: Yuan’s blog post says Zoom has now fixed this problem.
Windows malware injection
Mohamed A. Baset of security firm Seekurity said on Twitter that the same filepath flaw also would let a hacker insert a UNC path to a remote executable file into a Zoom meeting chatroom.
If a Zoom user running Windows clicked on it, a video posted by Baset showed, the user’s computer would try to load and run the software. The victim would be prompted to authorize the software to run, which will stop some hacking attempts but not all.
STATUS: If the UNC filepath issue is fixed, then this should be as well.
iOS profile sharing
Until late March, Zoom sent iOS user profiles to Facebook as part of the”log in with Facebook”feature in the iPhone and iPad Zoom apps. After Vice News exposed the practice, Zoom said it hadn’t been aware of the profile-sharing and updated the iOS apps to fix this.
STATUS: Fixed.
Malware-like behavior on Macs
We learned last summer that Zoom used hacker-like methods to bypass normal macOS security precautions. We thought that problem had been fixed then, along with the security flaw it created.
But a series of tweets March 30 from security researcher Felix Seele, who noticed that Zoom installed itself on his Mac without the usual user authorizations, revealed that there was still an issue.
Ever wondered how the @zoom_us macOS installer does it’s job without you ever clicking install? Turns out they (ab)use preinstallation scripts, manually unpack the app using a bundled 7zip and install it to/Applications if the current user is in the admin group (no root needed). pic.twitter.com/qgQ1XdU11MMarch 30, 2020
See more
“They (ab)use preinstallation scripts, manually unpack the app using a bundled 7zip and install it to/Applications if the current user is in the admin group (no root needed),”Seele wrote.
“The application is installed without the user giving his final consent and a highly misleading prompt is used to gain root privileges. The same tricks that are being used by macOS malware.”(Seele elaborated in a more user-friendly blog post here.)
Zoom founder and CEO Eric S. Yuan tweeted a friendly response.
“To join a meeting from a Mac is not easy, that is why this method is used by Zoom and others,”Yuan wrote.”Your point is well taken and we will continue to improve.”
UPDATE: In a new tweet April 2, Seele said Zoom had released a new version of the Zoom client for macOS that”completely removes the questionable’preinstall’-technique and the faked password prompt.”
“I must say that I am impressed. That was a swift and comprehensive reaction. Good work, @zoom_us!”Seele added.
Zoom just released an update for the macOS installer which completely removes the questionable”preinstall”-technique and the faked password prompt.I must say that I am impressed. That was a swift and comprehensive reaction. Good work, @zoom_us! pic.twitter.com/vau556TyAaApril 2, 2020
See more
STATUS: Fixed.
A backdoor for Mac malware
Other people could use Zoom’s dodgy Mac installation methods, renowned Mac hacker Patrick Wardle said in a blog post March 30.
Wardle demonstrated how a local attacker–such as a malicious human or already-installed malware–could use Zoom’s formerly magical powers of unauthorized installation to”escalate privileges”and gain total control over the machine without knowing the administrator password.
Wardle also showed that a malicious script installed into the Zoom Mac client could give any piece of malware Zoom’s webcam and microphone privileges, which do not prompt the user for authorization and could turn any Mac with Zoom installed into a potential spying device.
“This affords malware the ability to record all Zoom meetings, or simply spawn Zoom in the background to access the mic and webcam at arbitrary times,”Wardle wrote.
STATUS: Yuan’s blog post says Zoom has fixed these flaws.
Other issues
Zoom pledges to fix flaws
In a blog post April 1, Zoom CEO and founder Eric S. Yuan acknowledged Zoom’s growing pains and pledged that regular development of the Zoom platform would be put on hold while the company worked to fix security and privacy issues.
“We recognize that we have fallen short of the community’s–and ou r own–privacy and security expectations,”Yuan wrote, explaining that Zoom had been developed for large businesses with in-house IT staffers who could set up and run the software.
“We now have a much broader set of users who are utilizing our product in a myriad of unexpected ways, presenting us with challenges we did not anticipate when the platform was conceived,”he said.”These new, mostly consumer use cases have helped us uncover unforeseen issues with our platform. Dedicated journalists and security researchers have also helped to identify pre-existing ones.”
To deal with these issues, Yuan wrote, Zoom would be”enacting a feature freeze, effectively immediately, and shifting all our engineering resources to focus on our biggest trust, safety, and privacy issues.”
Among other things, Zoom would also be”conducting a comprehensive review with third-party experts and representative users to understand and ensure the security of all of our new consumer use cases.”
Zoom now requires passwords by default for most Zoom meetings, although meetings hosts can turn that feature off. Passwords are the easiest way to stop Zoom bombing.
And on April 8, former Facebook and Yahoo chief security officer Alex Stamos said he would be working with Zoom to improve its security and privacy. Stamos is now an adjunct professor at Stanford and is highly regarded within the information-security community.
Phony end-to-end encryption
Zoom claims its meetings use”end-to-end encryption”if every participant calls in from a computer or a Zoom mobile app instead of over the phone. But under pressure from The Intercept, a Zoom representative admitted that Zoom’s definitions of”end-to-end”and”endpoint”are not the same as everyone else’s.
“When we use the phrase’End to End’,”a Zoom spokeperson told The Intercept,”it is in reference to the connection being encrypted from Zoom end point to Zoom end point.”
Sound good, but the spokesperson clarified that he counted a Zoom server as an endpoint.
Every other company considers an endpoint to be a user device–a desktop, laptop, smartphone or tablet–but not a server. And every other company takes”end-to-end encryption”to mean that servers that relay messages from one endpoint to another can’t decrypt the messages.
When you send an Apple Message from your iPhone to another iPhone user, Apple’s servers help the message get from one place to another, but they can’t read the content.
Not so with Zoom. It can see whatever is going on in its meetings, and sometimes it may have to in order to make sure everything works properly. Just don’t believe the implication that it can’t.
UPDATE: In a blog post April 1, Zoom Chief Product Officer Oded Gal wrote that”we want to start by apologizing for the confusion we have caused by incorrectly suggesting that Zoom meetings were capable of using end-to-end encryption.”
“We recognize that there is a discrepancy between the commonly accepted definition of end-to-end encryption and how we were using it,”he wrote.
Gal assured users that all data sent and received by Zoom client applications (but not regular phone lines, business conferencing systems or, presumably, browser interfaces) is indeed encrypted and that Zoom servers or staffers”do not decrypt it at any point before it reaches the receiving clients.”
However, Gal added,”Zoom currently maintains the key management system for these systems in the cl oud”but has”implemented robust and validated internal controls to prevent unauthorized access to any content that users share during meetings.”
The implication is that Zoom doesn’t decrypt user transmissions by choice. But because it holds the encryption keys, Zoom could if it had to, such as if it were presented with a warrant or a U.S. National Security Letter (essentially a secret warrant).
For those worried about government snooping, Gal wrote that”Zoom has never built a mechanism to decrypt live meetings for lawful intercept purposes, nor do we have means to insert our employees or others into meetings without being reflected in the participant list.”
He added that companies and other enterprises would soon be able to handle their own encryption process.
“A solution will be available later this year to allow organizations to leverage Zoom’s cloud infrastructure but host the key management system within their environment.”
STATUS: This is an issue of misleading advertising rather than an actual software flaw. We hope Zoom stops using the term”end-to-end encryption”incorrectly, but just keep in mind that you won’t be getting the real thing with Zoom until it fully implements the technology it’s buying with Keybase.
Zoom meeting recordings can be found online
Privacy researcher Patrick Jackson noticed that Zoom meeting recordings saved to the host’s computer generally get a certain type of file name.
So he searched unprotected cloud servers to see if anyone had uploaded Zoom recordings and found more than 15,000 unprotected examples, according to The Washington Post. Jackson also found some recorded Zoom meetings on YouTube and Vimeo.
This isn’t really Zoom’s fault. It’s up to the host to decide whether to record a meeting, and Zoom gives paying customers the option to store recordings on Zoom’s own servers. It’s also up to the host to decide to change the recording’s file name.
If you host a Zoom meeting and decide to record it, then make sure you change the default file name after you’re done.
STATUS: This is not really Zoom’s problem, to be honest.
Today’s best Webcams deals
Show More Deals
