Zoom est un désastre pour la vie privée - les liens de chat peuvent voler vos informations personnelles

Zoom est un désastre pour la vie privée - les liens de chat peuvent voler vos informations personnelles

Zoom

(Crédit image : Smith Collection/Gado/Getty Images)

Faites attention aux liens sur lesquels vous appuyez dans le chat de votre prochain appel Zoom – ils pourraient voler vos informations d'identification.

Les règles de distanciation sociale mises en place pour freiner la propagation du coronavirus ont profité à certaines entreprises et nui à d'autres. Pour Zoom, c'est fait les deux.

  • Meilleures applications de visioconférence et logiciel
  • Travailler à domicile pour le coronavirus et au-delà
  • Les réunions Zoom ne sont pas aussi privées qu'annoncé : Ce que tu devrais faire

D'une part, les gens affluent en masse vers le service de vidéoconférence pour discuter avec des amis ou participer à des réunions d'affaires virtuelles. De l'autre, Zoom est sous le feu des projecteurs comme jamais, et ses squelettes se dévoilent.

Ça a commencé quand L'interception a publié un rapport remettant en cause la société chiffrement de bout en bout annoncé . En réalité, le faux cryptage s'arrête avec Zoom, donc les membres du personnel pourraient théoriquement voir votre contenu ou Zoom pourrait être obligé de remettre votre contenu aux forces de l'ordre.

Aujourd'hui, les chercheurs en sécurité ont découvert que les attaquants peuvent utiliser la discussion de groupe du client Zoom Windows pour partager des liens qui divulguent les informations d'identification du réseau Windows. Comme la plupart des applications de visioconférence, Zoom dispose d'une fonction de chat qui vous permet d'envoyer des messages à n'importe qui sur l'appel. Lorsque vous publiez une URL, elle se transforme automatiquement en lien hypertexte afin que les participants puissent accéder rapidement au site.

C'est inoffensif en soi, mais chercheur en sécurité @_g0dmode a constaté que Zoom convertit également les URL en chemins UNC (Universal Naming Convention) de réseau Windows, qui peuvent être utilisés pour accéder aux ressources réseau.

Comme BipOrdinateur souligne que si un utilisateur clique sur un lien de chemin UNC posté par un acteur malveillant, Windows se connectera à un site distant avec le nom de connexion et le mot de passe d'un utilisateur, qui peuvent être déchiffrés avec des outils gratuits en quelques secondes.

Un chemin UNC peut également conduire un utilisateur innocent de Zoom vers un programme malveillant, ouvrant la porte à un pirate informatique pour lui infliger de graves dommages.

Comment Zoom peut protéger les utilisateurs

Il existe une solution simple à cette faille de sécurité : ne transformez pas les chemins UNC en hyperliens cliquables. Si le chemin potentiellement malveillant ne devient pas bleu dans le chat, les gens seront moins enclins à voir où il mène.

'Zoom ne devrait pas rendre les chemins UNC car les hyperliens sont la solution, j'ai notifié Zoom comme je l'ai divulgué sur Twitter', a déclaré le chercheur en sécurité Matthew Hickey (@HackerFantastic) à BleepingComputer.

Zoom n'a pas reconnu le problème, donc votre meilleur pari est de suivre les instructions de Microsoft pour restreindre le trafic NTLM aux serveurs distants afin d'empêcher les attaques de lien UNC dans Zoom.

Zoom fuite de données utilisateur

Si cela ne suffisait pas, il a été constaté que Zoom divulguait les informations personnelles – y compris les e-mails et les photos – de milliers d'utilisateurs.

Le problème vient du répertoire de l'entreprise de Zoom, qui vous relie à des personnes qui ont le même domaine de messagerie. Malheureusement, dans certains cas, les utilisateurs sont regroupés avec des milliers de personnes avec lesquelles ils ne travaillent pas.

'J'ai été choqué par ça! Je me suis abonné (avec un alias, heureusement) et j'ai vu 995 inconnus avec leurs noms, images et adresses mail. Barend Gehrels, un utilisateur de Zoom qui a signalé le problème à Motherboard.

Cela survient quelques jours seulement après que Zoom a mis à jour son application iOS après un

  • Phillip Tracy est le rédacteur en chef adjoint d'Antenne Center, où il passe en revue les ordinateurs portables, les téléphones et d'autres gadgets tout en couvrant les dernières nouvelles de l'industrie. Après avoir obtenu un diplôme en journalisme de l'Université du Texas à Austin, Phillip est devenu journaliste technique au Daily Dot. Là, il a écrit des critiques pour une gamme de gadgets et couvert tout, des tendances des médias sociaux à la cybersécurité. Avant cela, il a écrit pour RCR Wireless News couvrant la 5G et l'IoT. Lorsqu'il ne bricole pas avec des appareils, vous pouvez trouver Phillip jouant à des jeux vidéo, lisant, voyageant ou regardant le football.