Check Point Research, divisione Threat Intelligence della nota azienda israeliana Check Point Software Technologies, ha dimostrato che è possibile hackerare ed intrufolarsi nei meeting online con Zoom per ascoltare le riunioni e tutte le informazioni riservate in esse condivise.
Il problema di vulnerabilità sorgeva nel caso di non abilitazione della funzione “Richiedi password per il meeting” o della funzione “Waiting Room” che richiedono un meeting-ID o l’accettazione manuale alla riunione. Inoltre, Check Point ha dimostrato che il 4% dei meeting-ID sono generati in modo casuale e ciò aumenta la possibilità di hackeraggi riusciti. Check Point ha informato Zoom di questa vulnerabilità, proponendo diversi punti al fine della correzione della vulnerabilità.
Il parere di Daniel Rozenek
L’ascesa apparentemente incontrastata della piattaforma, preferita rispetto alla concorrenza per semplicità d’uso, qualità del flusso audio/video e prezzi convenienti, è stata messa a dura prova a causa delle pesanti accuse sulla sicurezza del prodotto. Condivisione di informazioni sensibili con Facebook e Cina, livello di cifratura delle trasmissioni sub-ottimale e bug di sicurezza nei client Windows e MacOS hanno fortemente minato la fiducia riposta da alcune aziende su Zoom, al punto che alcune sono arrivate a bandirne l’uso (tra le più famose, la Città di New York e l’azienda di Elon Musk SpaceX) e lo stesso CEO Eric Yuan, scusandosi per la confusione, ha annunciato uno stop di 90 giorni agli sviluppi del prodotto per concentrarsi completamente sulla revisione della sua sicurezza.
Il caso Zoom conferma ancora una volta come valutare la sicurezza complessiva di un software sulla base della singola notizia della nuova vulnerabilità rischi di essere del tutto fuorviante. Ogni software nell’arco della sua vita è stato oggetto di vulnerabilità di sicurezza, Zoom alla pari delle alternative Skype, WebEx e altre ancora. Seppure assolutamente da non trascurare le problematiche rilevate finora, l’azienda ha risposto ad ognuna di esse e sta lavorando per porre rimedio.
Riflettiamo
Ormai dobbiamo imparare a convivere con le vulnerabilità che vengono rilevate se TUTTE le soluzioni e servizi durante il loro ciclo di vita. Le consuete raccomandazioni sul mantenere aggiornati i sistemi operativi delle nostre postazioni, mantenere aggiornati tutti i software utilizzati alle ultime versioni, criptare le postazioni di lavoro, utilizzare password complesse, non scaricare software e non accedere a servizi di dubbia reputazione e utilizzare sistemi di protezione commerciali e non gratuiti, ci consentiranno di operare con serenità.