Éxito y caída de Zoom 

A veces, en este sector, te conviertes un poco en profeta, porque no te fías de ciertos productos y con hechos y pruebas avisas a tus clientes, y al final, el tiempo acaba por darte la razón.

No es que seamos adivinos, pero sí persistentes, y la experiencia ayuda, así que cuando empezamos a ver “cosas raras” investigamos.

Este es el caso de Zoom, un sistema de videoconferencia y de reuniones virtuales que desde el confinamiento forzoso por el Covid-19, ha sido protagonista y lo empezó a usar mucha gente. Pero esos pequeños detalles, que por cantidad de uso molestaban solamente a unos pocos, empezaron a ser detectados por los usuarios y así llegaron a molestar a muchísimas personas.
Repasamos brevemente la polémica sobre este sistema que nació con la idea de facilitar la interconexión en el mundo de las videoreuniones empresariales.

• Fallo de diseño: para facilitar la conexión, sólo con un enlace y unas pruebas aleatorias, personas ajenas a la videoconferencia podían entrar sin ningún permiso concreto. ¿Y qué hicieron? De todo: insultar, incordiar, molestar, transmitir imágenes, etc… Por supuesto, todo esto tiene un nombre: ZOOMBOMBING.

Aunque los desarrolladores dijeron que muchos usuarios publican los enlaces para que la gente los clique y puedan verlos (estudiantes cuando están con sus profesores, por ejemplo), la verdad es que hay hasta scripts (lenguaje de programación) para buscar videollamadas activas de Zoom, como por ejemplo ESTE.

• Otro fallo de diseño: por muy segura que dijeran que fuese la aplicación, (que luego se demostró que no era así), ésta no disponía de cifrado de extremo a extremo, siendo por ello muy vulnerable.

• Julio de 2019: se hizo pública una vulnerabilidad para Apple, por la que el programa exponía a todo Internet a una conexión de un puerto con la cámara del ordenador directamente. Zoom no corrigió esta vulnerabilidad y tuvo que ser Apple la que parcheara el problema.

• 27 de Marzo de 2019: se hizo público lo que algunos expertos sospechábamos: que Zoom enviaba datos a Facebook de las videoconferencias que se realizaban con este sistema. Y por supuesto, sin indicarlo en sus políticas de privacidad. Se habían realizado pruebas de conversaciones concretas, y luego se recibía publicidad en esta red social. Privacidad cero.

• 31 de marzo de 2020: se prueba que al hacer la instalación en un Mac, los privilegios de este programa, pasan a ser del Administrador del sistema. Hay que tener mucho cuidado con lo que puede llegar a hacer un Administrador con este rol.

• 1 de abril de 2020: se exponen hashes y ficheros en las invitaciones de Windows, y un usuario experto puede descifrar las contraseñas en menos de un minuto.

• 2 de abril de 2020: el periódico The New York Timespublica una investigación sobre Zoom, donde explica que la aplicación cuenta con un apartado de minería de datos, que relaciona los nombres de usuarios de Zoom, con los correos de Linkedin (sin permiso), y aparece la información en un icono al lado de cada usuario en una videollamada.

• 3 de abril de 2020: se filtran listados de miles de llamadas grabadas, por Zoombombing, y publicadas en Internet. Privacidad cero parte 2.

• 6 de abril de 2020: Incibe publica un aviso sobre la vulnerabilidad descubierta en Windows. El instituto indica que, además de contraseñas expuestas, alguien externo puede ejecutar un código remotamente, como Ransomware o Malware. Podéis ver el aviso del Incibe AQUÍ.

• 10 de abril de 2020: se publica el parche para las diferentes versiones de Zoom, por lo que se recomienda descargar o actualizar a la última versión del programa, ya sea en PC o en dispositivos móviles.

Seguir leyendo en TECNOideas 2.0 ciberseguridad