La conférence de mars de Karen Wilson était censée être un cours à distance standard. Au lieu de cela, c’est devenu une intrusion chaotique. Dix minutes après le début de sa présentation, des rires ont éclaté parmi les intervenants. Une voix traversa l’audio et demanda : « De quel cours s’agit-il ?
Lorsqu’elle a demandé qui était là, deux lycéennes ont admis qu’elles s’étaient jointes par accident. Ils ont posé quelques questions et sont partis. Puis est arrivé un autre intrus. Anonyme. Mâle. Parler fort de marijuana.
Wilson ne savait pas comment l’arrêter. Elle était nouvelle sur Zoom. Elle pensait que c’était un bruit de fond. Au moment où elle a réalisé que des étrangers pouvaient « se rendre » à sa réunion, le mal était fait. Elle avait été bombardée par Zoom.
Les mécanismes de l’intrusion
Le bombardement par zoom est un raccourci pour les étrangers qui s’immiscent dans des réunions privées. Parfois, ils écoutent simplement. Parfois, ils perturbent avec des discours de haine, des menaces ou de la pornographie. Wilson a obtenu la version douce. D’autres empirent.
Comment ça se passe ? Ce n’est pas magique. C’est de la force brute.
Dan Desko, expert en cybersécurité chez Schneider Downs, explique qu’il s’agit essentiellement d’énumérer des combinaisons d’URL. Pour rejoindre une réunion Zoom, vous utilisez un lien tel que « https://zoom.us/j/55555523222 ». Les chiffres à la fin sont l’ID de la réunion. Si une réunion n’a pas de mot de passe, toute personne qui devine l’identifiant peut y accéder.
Desko a testé cela. En moins d’une minute, il a trouvé un identifiant de réunion légitime. La réunion n’était pas active à ce moment-là, mais l’identifiant existait. Le problème est simple : si vous devinez la bonne pièce d’identité au bon moment, vous y êtes. C’est comme une écoute téléphonique. Il faut juste de la chance et un peu de persévérance.
Pourquoi Zoom n’était pas préparé
Zoom a explosé, passant de 10 millions d’utilisateurs quotidiens en décembre 2019 à 200 millions en mars. L’entreprise a grandi trop vite. Il n’a pas été construit pour cette échelle.
« Zoom est avant tout un outil de collaboration en entreprise », explique David Tuffley, maître de conférences à l’Université Griffith. “Contrairement aux plateformes de médias sociaux, ce n’était pas un service qui devait concevoir des moyens de gérer le mauvais comportement des utilisateurs – jusqu’à présent.”
La plateforme supposait que les utilisateurs étaient des collègues. Cela ne supposait pas qu’ils étaient des cibles. Cette poussée soudaine a révélé des failles de sécurité fondamentales. Manque de cryptage. Comptes du Dark Web vendant l’accès. Le FBI a publié un avis le 30 mars. Google a interdit Zoom sur les ordinateurs portables des employés. Certaines organisations ont tout simplement arrêté de l’utiliser.
L’écart de chiffrement
La sécurité ne concerne pas seulement les mots de passe. Il s’agit de la façon dont les données se déplacent. Desko met en avant trois piliers : confidentialité, intégrité, disponibilité.
La confidentialité a échoué en premier. Le Citizen Lab de l’Université de Toronto a découvert que le cryptage de Zoom n’était pas aussi puissant qu’on le prétendait. La technologie était craquable. Il a fallu des mois pour réparer. Même en août 2020, les informations faisant état d’attentats sur Zoom persistaient.
L’intégrité est plus difficile à cerner. Au fur et à mesure de son expansion, Zoom a utilisé des serveurs en Chine avec des employés chinois. Cela a fait sourciller. Les inquiétudes concernant la confidentialité se sont fait plus fortes. Le Sénat américain a demandé à ses membres d’éviter Zoom. Le Pentagone a suivi le 10 avril.
Ce que cela signifie pour les utilisateurs
Vous ne pouvez pas compter sur la plateforme pour vous protéger. Vous devez le configurer.
Les réunions sans mot de passe sont des invitations ouvertes. Il est facile de deviner les identifiants si la plage est petite. La solution n’est pas complexe. C’est de la discipline.
Utilisez les salles d’attente. Exiger des mots de passe. Désactivez « Rejoindre avant l’hôte ». Vérifiez vos paramètres de confidentialité. Zoom vous offre ces outils. La plupart des gens ne les utilisent pas.
Pourquoi? Parce qu’il est facile de partager un lien. Parce que vous faites confiance aux gens à l’autre bout du fil. Parce que tu es occupé.
Mais la confiance n’est pas la sécurité. La chance n’est pas une stratégie.
La prochaine fois que vous rejoindrez une réunion, vérifiez l’URL. Recherchez le champ du mot de passe. Mettez-vous en sourdine. Supposons que vous êtes surveillé. Ce n’est pas de la paranoïa. C’est une hygiène de base.
Internet ne se soucie pas de savoir si vous êtes professeur. Peu importe que vous soyez PDG. Il ne s’en soucie que si vous avez laissé la porte déverrouillée.
Zoom n’a pas tout réglé. Les serveurs sont toujours mondiaux. Le cryptage est encore en évolution. Les intrus sont encore en train de deviner.
Vous êtes toujours vulnérable. Est-ce que tu regardes ?
Sécuriser votre espace virtuel
Le paysage a changé. Zoom ne laisse plus ses portes grandes ouvertes par défaut. Consciente du chaos des « bombardements Zoom », la plateforme applique désormais des protocoles plus stricts dès le départ. Chaque nouvelle réunion nécessite un mot de passe. La salle d’attente est active par défaut, agissant comme un videur qui filtre les participants avant qu’ils ne se glissent dans l’événement principal. Et si vous comptiez sur l’ID de réunion affiché dans la barre de titre pour partager l’accès, cela a également disparu. L’identifiant est masqué, ce qui rend beaucoup plus difficile aux acteurs malveillants de deviner ou de trouver votre lien.
Desko y voit une évolution nécessaire. Garder l’ID de réunion privé empêche les gens de lier une session spécifique à votre identité ou à votre organisation. C’est une couche défensive. Il cite Boris Johnson comme un avertissement. Lorsque l’ancien Premier ministre britannique a tweeté une capture d’écran contenant sa carte d’identité de réunion en mars, il n’a pas seulement partagé un numéro ; il a partagé une adresse. Même si la Bat Cave est sécurisée, révéler l’emplacement en fait une cible. Le mot de passe devient la seule véritable barrière.
Pour ceux qui prennent la sécurité au sérieux, l’automatisation ne suffit pas. Vous devez modifier votre identifiant de réunion et votre mot de passe pour chaque appel. Zoom vous permet de générer automatiquement un nouvel identifiant, mais vous pouvez également définir un mot de passe personnalisé. Il vous incombe de vérifier ces paramètres.
Si vous avez des réunions récurrentes configurées avec d’anciens paramètres par défaut, elles peuvent toujours être vulnérables. Vous devez revenir dans les paramètres et les mettre à jour. C’est une solution rapide, mais facile à oublier.
Au-delà des mots de passe, contrôlez la salle. Restreindre le partage d’écran à l’hôte uniquement. Couper le son des participants, ne laissant que l’orateur actif. Une fois que tout le monde est entré, verrouillez la réunion. Cela empêche les intrusions de personnes qui auraient pu tomber sur un ancien lien. Et ne publiez absolument pas de liens publics vers vos réunions sur les réseaux sociaux ou les forums publics. Un lien ouvert est une invitation adressée à la mauvaise foule.
La réalité plus large de la sécurité
Zoom a été durement touché par ses failles de sécurité pendant la pandémie. C’est l’éléphant dans la pièce. Mais ne présumez pas que les autres plateformes sont plus propres. Skype, Webex, Google Hangouts : ils présentent tous des vulnérabilités. Aucun outil de conférence n’est à l’abri. La confidentialité de vos réunions en ligne n’est pas garantie par le seul logiciel ; c’est garanti par la façon dont vous le configurez. Appliquez la même rigueur que vous utiliseriez pour Zoom à tous les autres espaces virtuels que vous habitez.
FAQ sur les bombardements Zoom
L’attentat à la bombe sur Zoom est-il un crime ?
Oui. Dans un communiqué de presse d’avril 2020, le bureau du procureur de district des États-Unis a précisé que les auteurs de ces actes pourraient faire face à de graves accusations. Il s’agit notamment de la perturbation d’une réunion publique, de l’intrusion informatique, de l’utilisation d’un ordinateur pour commettre un crime, des crimes haineux, de la fraude ou de la transmission de communications menaçantes. Les sanctions sont sévères : amendes et peines de prison sont sur la table.
Comment arrêter les bombardements Zoom ?
La salle d’attente est votre première ligne de défense. Cela empêche les participants de se joindre à moins que l’hôte ne les admette explicitement. Au-delà de cela, limitez le partage d’écran à l’hôte. Coupez tous les microphones à l’exception de celui du haut-parleur actif. Verrouillez la réunion une fois que tous les participants prévus ont rejoint la réunion. Ces outils sont disponibles directement sur la barre d’outils Zoom.
Qu’est-ce que le bombardement Zoom ?
Il s’agit du fait d’invités non invités qui perturbent une réunion Zoom en ligne. Les trolls Internet se joignent spécifiquement pour bombarder les autres participants avec du contenu distrayant, offensant ou dérangeant. C’est du vandalisme numérique.
Comment fonctionnent les bombes Zoom ?
Parfois, l’intrus se contente d’écouter, restant silencieux et invisible. Dans d’autres cas, ils perturbent la réunion avec un comportement explicite ou menaçant. La méthode varie, mais l’intention est la perturbation.
Est-il légal de bombarder une classe avec Zoom ?
Non. Le ministère américain de la Justice a explicitement averti que les bombardements Zoom étaient illégaux. En fonction du comportement de l’invité non invité, il peut être accusé de crimes étatiques et fédéraux. L’acte lui-même n’est pas une parole protégée ; c’est une intrusion criminelle.
