Se suponía que la conferencia de marzo de Karen Wilson sería una clase remota estándar. Más bien, se convirtió en una intrusión caótica. Diez minutos después de su presentación, las risas brotaron de los oradores. Una voz cortó el audio y preguntó: “¿Qué clase es esta?”
Cuando preguntó quién estaba allí, dos chicas de secundaria admitieron que se habían unido accidentalmente. Hicieron algunas preguntas y se fueron. Luego vino otro intruso. Anónimo. Masculino. Hablar en voz alta sobre la marihuana.
Wilson no sabía cómo detenerlo. Ella era nueva en Zoom. Ella pensó que era ruido de fondo. Cuando se dio cuenta de que los extraños podían “entrar” en su reunión, el daño ya estaba hecho. Ella había sido bombardeada por Zoom.
La mecánica de la intrusión
El bombardeo por zoom es una abreviatura de extraños que se entrometen en reuniones privadas. A veces simplemente escuchan. A veces interrumpen con discursos de odio, amenazas o pornografía. Wilson obtuvo la versión suave. Otros empeoran.
¿Cómo sucede? No es magia. Es fuerza bruta.
Dan Desko, experto en ciberseguridad de Schneider Downs, explica que básicamente se trata de enumerar combinaciones de URL. Para unirse a una reunión de Zoom, utilice un enlace como https://zoom.us/j/55555523222. Los números al final son el ID de la reunión. Si una reunión no tiene contraseña, cualquiera que adivine la identificación ingresa.
Desko probó esto. En menos de un minuto, encontró una ID de reunión legítima. La reunión no estaba activa en ese momento, pero la identificación existía. El error es simple: si adivinas la identificación correcta en el momento correcto, estás dentro. Es como una intervención telefónica. Sólo necesitas suerte y un poco de perseverancia.
Por qué Zoom no estaba preparado
Zoom se disparó de 10 millones de usuarios diarios en diciembre de 2019 a 200 millones en marzo. La empresa creció demasiado rápido. No fue construido para esta escala.
“Zoom es principalmente una herramienta de colaboración corporativa”, afirma David Tuffley, profesor de la Universidad Griffith. “A diferencia de las plataformas de redes sociales, hasta ahora no era un servicio que tuviera que diseñar formas de gestionar el mal comportamiento de los usuarios”.
La plataforma asumió que los usuarios eran colegas. No asumió que fueran objetivos. El repentino aumento expuso fallas básicas de seguridad. Falta de cifrado. Cuentas de la web oscura que venden acceso. El FBI emitió un aviso el 30 de marzo. Google prohibió Zoom en las computadoras portátiles de los empleados. Algunas organizaciones simplemente dejaron de usarlo.
La brecha de cifrado
La seguridad no se trata sólo de contraseñas. Se trata de cómo se mueven los datos. Desko apunta a tres pilares: confidencialidad, integridad y disponibilidad.
La confidencialidad falló primero. El Citizen Lab de la Universidad de Toronto descubrió que el cifrado de Zoom no era tan fuerte como se afirmaba. La tecnología era crackeable. Tomó meses arreglarlo. Incluso en agosto de 2020, persistieron los informes de bombardeos de Zoom.
La integridad es más difícil de precisar. A medida que Zoom se expandió, utilizó servidores en China con empleados chinos. Eso levantó las cejas. Las preocupaciones sobre la confidencialidad se hicieron más fuertes. El Senado de Estados Unidos pidió a los miembros que evitaran Zoom. El Pentágono hizo lo mismo el 10 de abril.
Qué significa esto para los usuarios
No puedes confiar en que la plataforma te proteja. Tienes que configurarlo.
Las reuniones sin contraseñas son invitaciones abiertas. Adivinar las identificaciones es fácil si el rango es pequeño. La solución no es compleja. Es disciplina.
Utilice salas de espera. Requerir contraseñas. Desactive “Unirse antes que el anfitrión”. Verifique su configuración de privacidad. Zoom te ofrece estas herramientas. La mayoría de la gente no los usa.
¿Por qué? Porque es fácil compartir un enlace. Porque confías en la gente del otro lado. Porque estás ocupado.
Pero la confianza no es seguridad. La suerte no es una estrategia.
La próxima vez que se una a una reunión, verifique la URL. Busque el campo de contraseña. Silenciate. Suponga que está siendo observado. No es paranoia. Es higiene básica.
A Internet no le importa si eres profesor. No importa si eres director ejecutivo. Sólo le importa si dejaste la puerta abierta.
Zoom no ha solucionado todo. Los servidores siguen siendo globales. El cifrado aún está evolucionando. Los intrusos todavía están adivinando.
Todavía eres vulnerable. ¿Estás mirando?
Asegurando tu espacio virtual
El panorama ha cambiado. Zoom ya no deja sus puertas abiertas de par en par por defecto. Al reconocer el caos del “bombardeo Zoom”, la plataforma ahora aplica protocolos más estrictos desde el primer momento. Cada nueva reunión requiere una contraseña. La sala de espera está activa de forma predeterminada y actúa como un portero que examina a los asistentes antes de que entren al evento principal. Y si dependías del ID de la reunión que se muestra en la barra de título para compartir el acceso, eso también desaparecerá. La identificación está oculta, lo que hace que sea mucho más difícil para los delincuentes adivinar o encontrar su enlace.
Desko ve esto como una evolución necesaria. Mantener la ID de la reunión privada evita que las personas vinculen una sesión específica a su identidad u organización. Es una capa defensiva. Señala a Boris Johnson como una advertencia. Cuando el ex Primer Ministro del Reino Unido tuiteó una captura de pantalla que contenía su identificación de reunión en marzo, no solo compartió un número; compartió una dirección. Incluso si la Batcueva es segura, revelar la ubicación la convierte en un objetivo. La contraseña se convierte en la única barrera real.
Para quienes se toman en serio la seguridad, la automatización no es suficiente. Debe cambiar su ID de reunión y contraseña para cada llamada. Zoom le permite generar una nueva identificación automáticamente, pero también puede establecer una contraseña personalizada. La responsabilidad de verificar estas configuraciones recae en usted.
Si tiene reuniones recurrentes configuradas con los valores predeterminados anteriores, es posible que aún sean vulnerables. Tienes que volver a la configuración y actualizarla. Es una solución rápida, pero fácil de olvidar.
Más allá de las contraseñas, controla la sala. Restrinja el uso compartido de pantalla solo al anfitrión. Silencia a los participantes, dejando solo al orador activado. Una vez que todos estén dentro, cierre la reunión. Esto evita robos por parte de personas que podrían haber tropezado con un enlace antiguo. Y absolutamente no publique enlaces públicos a sus reuniones en las redes sociales o foros públicos. Un enlace abierto es una invitación al público equivocado.
La realidad más amplia de la seguridad
Zoom ha recibido un duro golpe por sus deficiencias de seguridad durante la pandemia. Es el elefante en la habitación. Pero no asuma que otras plataformas son más limpias. Skype, Webex, Google Hangouts: todos tienen vulnerabilidades. Ninguna herramienta de conferencias es inmune. La privacidad de sus reuniones en línea no está garantizada únicamente por el software; está garantizado por cómo lo configuras. Aplique el mismo rigor que usaría para Zoom a cualquier otro espacio virtual que habite.
Preguntas frecuentes sobre el bombardeo de Zoom
¿El bombardeo de Zoom es un delito?
Sí. En un comunicado de prensa de abril de 2020, la fiscalía de distrito de Estados Unidos aclaró que los perpetradores pueden enfrentar cargos graves. Estos incluyen interrumpir una reunión pública, intrusión informática, utilizar una computadora para cometer un delito, delitos de odio, fraude o transmitir comunicaciones amenazantes. Las penas son severas: multas y prisión están sobre la mesa.
¿Cómo se detiene el bombardeo de Zoom?
La sala de espera es tu primera línea de defensa. Impide que los participantes se unan a menos que el anfitrión los admita explícitamente. Más allá de eso, restrinja el uso compartido de pantalla al anfitrión. Silencia todos los micrófonos excepto el altavoz activo. Bloquee la reunión una vez que se hayan unido todos los asistentes previstos. Estas herramientas están disponibles directamente en la barra de herramientas de Zoom.
¿Qué es el bombardeo de Zoom?
Es el acto de invitados no invitados que interrumpen una reunión de Zoom en línea. Los trolls de Internet se unen específicamente para bombardear a otros asistentes con contenido que distraiga, sea ofensivo o perturbador. Es vandalismo digital.
¿Cómo funcionan las bombas Zoom?
A veces el intruso simplemente escucha, permaneciendo en silencio y sin ser visto. En otros casos, interrumpen la reunión con un comportamiento explícito o amenazante. El método varía, pero la intención es la disrupción.
¿Es legal bombardear una clase con Zoom?
No. El Departamento de Justicia de Estados Unidos ha advertido explícitamente que el bombardeo de Zoom es ilegal. Dependiendo del comportamiento del huésped no invitado, se le pueden acusar de delitos estatales y federales. El acto en sí no es una expresión protegida; es una intrusión criminal.
