Kuliah Karen Wilson di bulan Maret seharusnya menjadi kelas jarak jauh standar. Sebaliknya, ini menjadi gangguan yang kacau balau. Sepuluh menit setelah presentasinya, tawa terdengar dari para pembicara. Sebuah suara memotong audio, bertanya, “Kelas apa ini?”
Saat ditanya siapa yang hadir di sana, dua siswi SMA mengaku tidak sengaja bergabung. Mereka mengajukan beberapa pertanyaan dan pergi. Lalu datanglah penyusup lainnya. Anonim. Pria. Berbicara dengan keras tentang ganja.
Wilson tidak tahu bagaimana menghentikannya. Dia baru mengenal Zoom. Dia pikir itu adalah kebisingan latar belakang. Pada saat dia menyadari orang asing bisa “datang ke” pertemuannya, kerusakan sudah terjadi. Dia telah dibom Zoom.
Mekanisme Intrusi
Zoom bombing adalah singkatan dari orang asing yang mengganggu pertemuan pribadi. Terkadang mereka hanya mendengarkan. Terkadang mereka mengganggu dengan ujaran kebencian, ancaman, atau pornografi. Wilson mendapat versi ringan. Yang lainnya menjadi lebih buruk.
Bagaimana hal itu bisa terjadi? Ini bukan sihir. Itu adalah kekerasan.
Dan Desko, pakar keamanan siber di Schneider Downs, menjelaskan bahwa ini pada dasarnya adalah menghitung kombinasi URL. Untuk bergabung ke rapat Zoom, Anda menggunakan tautan seperti https://zoom.us/j/55555523222. Angka-angka di akhir adalah ID Rapat. Jika rapat tidak memiliki kata sandi, siapa pun yang menebak ID akan masuk.
Desko menguji ini. Dalam waktu kurang dari satu menit, dia menemukan ID Rapat yang sah. Rapatnya tidak aktif saat itu, tapi ID-nya ada. Kelemahannya sederhana: jika Anda menebak ID yang tepat pada waktu yang tepat, Anda masuk. Ini seperti penyadapan. Anda hanya perlu keberuntungan dan sedikit ketekunan.
Mengapa Zoom Tidak Siap
Zoom meledak dari 10 juta pengguna harian pada bulan Desember 2019 menjadi 200 juta pada bulan Maret. Perusahaan tumbuh terlalu cepat. Itu tidak dibangun untuk skala ini.
“Zoom pada dasarnya adalah alat kolaborasi perusahaan,” kata David Tuffley, dosen di Griffith University. “Tidak seperti platform media sosial, ini bukanlah layanan yang harus merekayasa cara untuk mengelola perilaku buruk pengguna – hingga saat ini.”
Platform ini mengasumsikan penggunanya adalah rekan kerja. Mereka tidak berasumsi bahwa mereka adalah target. Lonjakan yang tiba-tiba ini mengungkap kegagalan keamanan dasar. Kurangnya enkripsi. Akun web gelap yang menjual akses. FBI mengeluarkan peringatan pada 30 Maret. Google melarang Zoom di laptop karyawan. Beberapa organisasi berhenti menggunakannya.
Kesenjangan Enkripsi
Keamanan bukan hanya tentang kata sandi. Ini tentang bagaimana data berpindah. Desko menunjuk pada tiga pilar: kerahasiaan, integritas, ketersediaan.
Kerahasiaan gagal terlebih dahulu. Citizen Lab di Universitas Toronto menemukan bahwa enkripsi Zoom tidak sekuat yang diklaim. Teknologinya bisa dipecahkan. Butuh waktu berbulan-bulan untuk memperbaikinya. Bahkan pada bulan Agustus 2020, laporan tentang pengeboman Zoom masih terus berlanjut.
Integritas lebih sulit dijabarkan. Saat Zoom berkembang, Zoom menggunakan server di Tiongkok dengan karyawan Tiongkok. Itu mengangkat alis. Kekhawatiran terhadap kerahasiaan semakin besar. Senat AS meminta anggotanya untuk menghindari Zoom. Pentagon menyusul pada 10 April.
Apa Artinya Bagi Pengguna
Anda tidak dapat mengandalkan platform untuk melindungi Anda. Anda harus mengkonfigurasinya.
Rapat tanpa kata sandi adalah undangan terbuka. Menebak ID itu mudah jika rentangnya kecil. Solusinya tidak rumit. Itu disiplin.
Gunakan ruang tunggu. Memerlukan kata sandi. Nonaktifkan “Bergabung Sebelum Menjadi Tuan Rumah.” Periksa pengaturan privasi Anda. Zoom memberi Anda alat-alat ini. Kebanyakan orang tidak menggunakannya.
Mengapa? Karena mudah untuk membagikan tautan. Karena Anda memercayai orang-orang di ujung sana. Karena kamu sibuk.
Tapi kepercayaan bukanlah keamanan. Keberuntungan bukanlah sebuah strategi.
Saat berikutnya Anda bergabung ke rapat, periksa URL-nya. Cari bidang kata sandi. Bisukan dirimu sendiri. Anggaplah Anda sedang diawasi. Ini bukan paranoia. Ini adalah kebersihan dasar.
Internet tidak peduli jika Anda seorang profesor. Tidak masalah jika Anda seorang CEO. Ia hanya peduli jika Anda membiarkan pintu tidak terkunci.
Zoom belum memperbaiki semuanya. Servernya masih global. Enkripsi masih terus berkembang. Para penyusup masih menebak-nebak.
Anda masih rentan. Apakah kamu menonton?
Mengamankan Ruang Virtual Anda
Lanskap telah bergeser. Zoom tidak lagi membiarkan pintunya terbuka lebar secara default. Menyadari kekacauan akibat “Zoom bombing”, platform ini kini menerapkan protokol yang lebih ketat. Setiap pertemuan baru memerlukan kata sandi. Ruang tunggu aktif secara default, bertindak sebagai penjaga yang menyaring peserta sebelum mereka masuk ke acara utama. Dan jika Anda mengandalkan ID rapat yang ditampilkan di bilah judul untuk berbagi akses, hal itu juga hilang. ID-nya disembunyikan, sehingga lebih sulit bagi pelaku kejahatan untuk menebak atau menemukan tautan Anda.
Desko melihat hal ini sebagai sebuah evolusi yang perlu. Menjaga kerahasiaan ID rapat akan menghentikan orang menghubungkan sesi tertentu ke identitas atau organisasi Anda. Itu adalah lapisan pertahanan. Dia menunjuk Boris Johnson sebagai kisah peringatan. Ketika mantan Perdana Menteri Inggris itu men-tweet tangkapan layar yang berisi ID pertemuannya pada bulan Maret, dia tidak hanya membagikan nomornya; dia berbagi alamat. Meskipun Gua Kelelawar aman, mengungkapkan lokasinya menjadikannya target. Kata sandi menjadi satu-satunya penghalang nyata.
Bagi mereka yang serius mengenai keamanan, otomatisasi saja tidak cukup. Anda harus mengubah ID rapat dan kata sandi Anda untuk setiap panggilan. Zoom memungkinkan Anda membuat ID baru secara otomatis, tetapi Anda juga dapat mengatur kata sandi khusus. Tanggung jawab ada pada Anda untuk memverifikasi pengaturan ini.
Jika Anda mengadakan rapat berulang yang diatur berdasarkan default lama, rapat tersebut mungkin masih rentan. Anda harus kembali ke pengaturan dan memperbaruinya. Ini adalah perbaikan yang cepat, tetapi mudah untuk dilupakan.
Selain kata sandi, kendalikan ruangan. Batasi berbagi layar hanya untuk host. Bisukan peserta, sehingga hanya pembicara yang bersuara. Setelah semua orang masuk, kunci rapat. Hal ini mencegah pembobolan dari orang-orang yang mungkin menemukan tautan lama. Dan sama sekali jangan memposting tautan publik ke pertemuan Anda di media sosial atau forum publik. Tautan terbuka adalah undangan ke kelompok yang salah.
Realitas Keamanan yang Lebih Luas
Zoom mendapat pukulan besar karena kelemahan keamanannya selama pandemi. Itu adalah gajah di dalam ruangan. Namun jangan berasumsi bahwa platform lain lebih bersih. Skype, Webex, Google Hangouts—semuanya memiliki kerentanan. Tidak ada alat konferensi yang kebal. Privasi rapat online Anda tidak dijamin oleh perangkat lunak saja; itu dijamin oleh cara Anda mengonfigurasinya. Terapkan ketelitian yang sama seperti yang Anda gunakan untuk Zoom ke setiap ruang virtual lain yang Anda tinggali.
Pertanyaan Umum tentang Pemboman Zoom
Apakah pemboman Zoom merupakan kejahatan?
Ya. Dalam siaran pers pada bulan April 2020, kantor Kejaksaan AS mengklarifikasi bahwa pelaku dapat menghadapi tuntutan serius. Hal ini termasuk mengganggu pertemuan publik, intrusi komputer, menggunakan komputer untuk melakukan kejahatan, kejahatan rasial, penipuan, atau mengirimkan komunikasi yang mengancam. Hukumannya berat: denda dan hukuman penjara bisa saja terjadi.
Bagaimana cara menghentikan pemboman Zoom?
Ruang tunggu adalah garis pertahanan pertama Anda. Ini mencegah peserta untuk bergabung kecuali tuan rumah secara eksplisit mengakuinya. Selain itu, batasi berbagi layar ke host. Matikan semua mikrofon kecuali speaker aktif. Kunci rapat setelah semua peserta yang dituju telah bergabung. Alat-alat ini tersedia langsung di toolbar Zoom.
Apa itu pemboman Zoom?
Itu adalah tindakan tamu tak diundang yang mengganggu rapat Zoom online. Troll internet bergabung secara khusus untuk membombardir peserta lain dengan konten yang mengganggu, menyinggung, atau mengganggu. Ini adalah vandalisme digital.
Bagaimana cara kerja bom Zoom?
Terkadang penyusup hanya mendengarkan, tetap diam dan tidak terlihat. Dalam kasus lain, mereka membatalkan pertemuan dengan perilaku eksplisit atau mengancam. Caranya bermacam-macam, namun tujuannya adalah gangguan.
Apakah legal untuk mengebom kelas dengan Zoom?
Tidak. Departemen Kehakiman AS telah secara eksplisit memperingatkan bahwa pemboman Zoom adalah tindakan ilegal. Tergantung pada perilaku tamu tak diundang, mereka dapat didakwa melakukan kejahatan negara bagian dan federal. Tindakan itu sendiri bukanlah ucapan yang dilindungi; itu adalah gangguan kriminal.
