Onderzoekers van Check Point Research hebben een beveiligingslek ontdekt in Zoom, een populaire tool voor videoconferencing. Hierdoor konden hackers een tijdlang Zoom Meetings afluisteren. Intussen zou het lek zijn gedicht.
Volgens de onderzoekers konden hackers gemakkelijk valse Zoom Meeting ID’s genereren en checken om doelbewust slachtoffers te maken. Ze waren op die manier in staat om meetings op het platform af te luisteren, waardoor ze tevens toegang kregen tot alle geluidsbestanden, video’s en documenten die tijdens de videoconferenties worden gedeeld tussen de deelnemers.
Zoom is een erg populaire tool voor videoconferencing die door tal van bedrijven en instellingen dagelijks wordt gebruikt. Bij ruim zestig procent van de Fortune500-bedrijven vormt de software een van de belangrijke communicatiemiddelen. Check Point Research, het Threat Intelligence team van Check Point Software Technologies, spreekt dan ook over een ‘groot beveiligingslek’.
Het in Californië gevestigde Zoom Video Communications rolde inmiddels een reeks security-updates voor de tool uit en trof ook een aantal bijkomende maatregelen. Zo is voortaan voor alle geplande meetings een wachtwoord vereist. Verder geeft Zoom niet langer aan of een vergader-ID geldig of ongeldig is. Voor elke poging wordt de pagina geladen en wordt er geprobeerd om aan de vergadering deel te nemen. Hierdoor zou een hacker niet meer in staat zijn om zijn zoekopdracht te beperken tot het aantal geldige vergaderingen.
Zo gingen de hackers te werk
Om een Zoom-meeting te kunnen afluisteren, focusten de hackers op de typische Zoom Meeting ID’s. Elke meeting heeft een eigen identificatienummer dat wordt gedeeld met de deelnemers. Gewoonlijk bestaan deze ID’s uit 9-, 10- en 11-cijferige nummers. Check Point ontdekte dat een hacker vooraf een lange lijst met dergelijke Zoom Meeting ID’s kon genereren, en via een geautomatiseerd proces snel kon verifiëren of zo’n ID geldig was of niet. Vervolgens verschafte de hacker zich toegang tot meetings die niet met een wachtwoord waren beveiligd.
Fout opgemerkt of meer nieuws? Meld het hier