Команда Zoom исправила серьезную проблему перехвата собраний хакерами

Команда Zoom исправила серьезную проблему перехвата собраний хакерами. Фото: из архива компании

Брешь в безопасности Zoom Rooms обнаружили исследователи из AppOmni в июле 2023 года. Эксплойт мог позволить хакерам перехватить собрания и украсть информацию.

Zoom Rooms — это система, которая позволяет членам команды, находящимся в разных местах, работать вместе через Zoom. Для этого пользователю нужно устанавливить приложение на конечной точке, которая будет служить терминалом для членов команды.

При создании комнаты Zoom Zoom создает сервисную учетную запись с лицензиями на собрания и виртуальные доски.

Из сообщения исследователей безопасности:

«Zoom автоматически назначает адрес электронной почты учетной записи обслуживания номеров. Формат адреса: Rooms_<идентификатор аккаунта>@companycommain.com. Так, например, если у пользователя есть адрес Outlook, Zoom создаст его в формате room_<идентификатор учетной записи>@outlook.com.»

Поскольку каждый может создать адрес Outlook, создать действующий почтовый ящик для комнаты Zoom легко. Используя электронное письмо, исследователи зарегистрировались в Zoom и получили ссылку для активации во входящих сообщениях. После активации Zoom зарегистрировал исследователей в клиенте Zoom жертв в качестве учетной записи службы.

Учетная запись службы считается членом команды, что позволяет исследователям собирать информацию по всему клиенту. Поскольку Zoom Rooms начинает работу с двух лицензий, это дает исследователям возможность видеть всех пользователей в организации, позволяет им перехватывать собрания, как если бы они были организаторами, просматривать все доски и многое другое.

Единственным условием успешного проведения атаки является знание адреса электронной почты, что не является такой уж большой проблемой. Злоумышленники-инсайдеры также могут осуществить это, просто находясь в одной комнате Zoom.

После раскрытия результатов Zoom компания незамедлительно выпустила исправление, удалив возможность создавать учетные записи Zoom Room.

Startpack подготовил список сервисов, которые помогут провести видеоконференцию. Помимо стандартной видеосвязи между двумя или несколькими абонентами, инструменты позволяют отправлять сообщения в режиме реального времени, обмениваться файлами, совместную работу с документами. Есть возможность быстро организовать текстовый чат. Продукты представлены в виде веб-сервисов, а также локальных приложений. Инструменты работают под разными операционными системами. Они могут быть установлены в облако или на локальный ПК или мобильный гаджет.

Статьи по теме

• Число корпоративных пользователей Zoom растет.
• В Google Meet добавили распознавание жеста поднятой руки с помощью камеры.
• Команда Stormboard объявила об интеграции с Zoom.