Na firemní schůzce, kde řešíte řadu citlivých záležitostí, byste určitě nechtěli, aby vedle vás seděl někdo, koho vůbec neznáte. Jak by se vám potom diskutovalo například o podnikové strategii? Podobný problém ale mohl nastat při použití konferencí Zoom, kdy hackeři mohli tajně odposlouchávat průběh online schůzek.

Videokonference Zoom používají ID složená z 9, 10 nebo 11 číslic. Problém byl, že pokud uživatel nezapnul „Vyžadovat heslo k meetingu“ nebo nepovolil čekárnu, která umožňuje manuální schválení účastníků, bylo ID meetingu jediná věc, která konferenci zabezpečila a zabránila v přístupu nežádoucím účastníkům.

Při hledání zranitelností vygeneroval bezpečnostní tým Check Point Research nejdříve seznam potenciálně platných ID a následně vytvořil script pro automatické připojování k online schůzkám. Ale jak ověřit, že ID představuje reálné ID nějakého platného meetingu? Výzkumníci našli jednoduchou a rychlou cestu, jak podobnou věc ověřit. Při připojení ke schůzce bylo v těle HTML jednoduše rozeznatelné, jestli se jedná o aktivní meeting nebo ne.

Výzkumný tým následně celý proces zautomatizoval a dokázal odhalit zhruba 4 % reálných ID konferencí na základě náhodně generovaných ID, což je velmi vysoká šance na úspěch ve srovnání s hackerskými útoky, které se snaží prolomit do konferencí hrubou silou.

Check Point kontaktoval společnost Zoom Video Communications, informoval ji o svých zjištěních a pomohl s nápravou a zmírněním rizik, takže podobný útok již není možný.