La conferenza di marzo di Karen Wilson avrebbe dovuto essere una lezione a distanza standard. Invece, è diventata un’intrusione caotica. Dieci minuti dopo l’inizio della sua presentazione, dagli oratori sono esplose delle risate. Una voce interruppe l’audio chiedendo: “Che lezione è questa?”
Quando ha chiesto chi fosse presente, due ragazze delle scuole superiori hanno ammesso di essersi unite per sbaglio. Fecero alcune domande e se ne andarono. Poi è arrivato un altro intruso. Anonimo. Maschio. Parlare ad alta voce di marijuana.
Wilson non sapeva come fermarlo. Era nuova su Zoom. Pensò che fosse rumore di fondo. Quando si rese conto che degli estranei potevano “entrare” nella sua riunione, il danno era ormai fatto. Era stata bombardata tramite Zoom.
La meccanica dell’intrusione
Lo zoom bombing è una scorciatoia per indicare estranei che si intromettono in riunioni private. A volte semplicemente ascoltano. A volte disturbano con incitamenti all’odio, minacce o pornografia. Wilson ha ottenuto la versione lieve. Altri peggiorano.
Come succede? Non è magia. È forza bruta.
Dan Desko, esperto di sicurezza informatica presso Schneider Downs, spiega che si tratta essenzialmente di enumerare combinazioni di URL. Per partecipare a una riunione Zoom, utilizza un collegamento come “https://zoom.us/j/55555523222”. I numeri alla fine rappresentano l’ID della riunione. Se una riunione non ha password, chiunque indovini l’ID accede.
Desko lo ha testato. In meno di un minuto trovò un ID riunione legittimo. La riunione non era attiva in quel momento, ma l’ID esisteva. Il difetto è semplice: se indovini l’ID giusto al momento giusto, sei dentro. È come un’intercettazione telefonica. Hai solo bisogno di fortuna e un po’ di tenacia.
Perché Zoom era impreparato
Zoom è passato da 10 milioni di utenti giornalieri a dicembre 2019 a 200 milioni a marzo. L’azienda è cresciuta troppo velocemente. Non è stato costruito per questa scala.
“Zoom è principalmente uno strumento di collaborazione aziendale”, afferma David Tuffley, docente alla Griffith University. “A differenza delle piattaforme di social media, fino ad ora non si trattava di un servizio che doveva progettare modi per gestire il cattivo comportamento degli utenti.”
La piattaforma presupponeva che gli utenti fossero colleghi. Non presumeva che fossero obiettivi. L’improvvisa ondata ha messo in luce i fallimenti fondamentali della sicurezza. Mancanza di crittografia. Account sul dark web che vendono l’accesso. L’FBI ha emesso un avviso il 30 marzo: Google ha vietato Zoom sui laptop dei dipendenti. Alcune organizzazioni hanno semplicemente smesso di usarlo.
Il divario nella crittografia
La sicurezza non riguarda solo le password. Riguarda il modo in cui si muovono i dati. Desko punta su tre pilastri: riservatezza, integrità, disponibilità.
La riservatezza è venuta meno per prima. Il Citizen Lab dell’Università di Toronto ha scoperto che la crittografia di Zoom non era così potente come affermato. La tecnologia era craccabile. Ci sono voluti mesi per sistemare. Anche nell’agosto 2020 persistevano segnalazioni di bombardamenti Zoom.
L’integrità è più difficile da definire. Con l’espansione di Zoom, ha utilizzato server in Cina con dipendenti cinesi. Ciò ha sollevato le sopracciglia. Le preoccupazioni sulla riservatezza sono diventate più forti. Il Senato degli Stati Uniti ha chiesto ai membri di evitare Zoom. Il Pentagono seguì il 10 aprile.
Cosa significa per gli utenti
Non puoi fare affidamento sulla piattaforma per proteggerti. Devi configurarlo.
Le riunioni senza password sono inviti aperti. Indovinare gli ID è facile se l’intervallo è piccolo. La soluzione non è complessa. È disciplina.
Utilizza le sale d’attesa. Richiedi password. Disabilita “Partecipa prima dell’host”. Controlla le tue impostazioni sulla privacy. Zoom ti offre questi strumenti. La maggior parte delle persone non li usa.
Perché? Perché è facile condividere un collegamento. Perché ti fidi delle persone dall’altra parte. Perché sei occupato.
Ma la fiducia non è sicurezza. La fortuna non è una strategia.
La prossima volta che partecipi a una riunione, controlla l’URL. Cerca il campo della password. Disattiva l’audio. Supponi di essere osservato. Non è paranoia. È l’igiene di base.
A Internet non importa se sei un professore. Non importa se sei un amministratore delegato. Importa solo se hai lasciato la porta aperta.
Zoom non ha risolto tutto. I server sono ancora globali. La crittografia è ancora in evoluzione. Gli intrusi stanno ancora indovinando.
Sei ancora vulnerabile. Stai guardando?
Proteggi il tuo spazio virtuale
Il panorama è cambiato. Zoom non lascia più le porte spalancate per impostazione predefinita. Riconoscendo il caos del “bombardamento Zoom”, la piattaforma ora applica protocolli più rigidi fin dal primo utilizzo. Ogni nuova riunione richiede una password. La sala d’attesa è attiva per impostazione predefinita e funge da buttafuori che controlla i partecipanti prima che entrino nell’evento principale. E se ti affidavi all’ID riunione visualizzato nella barra del titolo per condividere l’accesso, anche questo non c’è più. L’ID è nascosto, rendendo molto più difficile per i malintenzionati indovinare o trovare il tuo collegamento.
Desko vede questa come un’evoluzione necessaria. Mantenere privato l’ID della riunione impedisce alle persone di collegare una sessione specifica alla tua identità o organizzazione. È uno strato difensivo. Indica Boris Johnson come un ammonimento. Quando l’ex primo ministro britannico ha twittato uno screenshot contenente il suo ID della riunione a marzo, non si è limitato a condividere un numero; ha condiviso un indirizzo. Anche se la Bat-caverna è sicura, rivelare la posizione la rende un bersaglio. La password diventa l’unica vera barriera.
Per chi prende sul serio la sicurezza, l’automazione non è sufficiente. Dovresti modificare l’ID riunione e la password per ogni singola chiamata. Zoom ti consente di generare automaticamente un nuovo ID, ma puoi anche impostare una password personalizzata. Spetta a te verificare queste impostazioni.
Se hai riunioni ricorrenti configurate con vecchie impostazioni predefinite, potrebbero essere ancora vulnerabili. Devi tornare nelle impostazioni e aggiornarle. È una soluzione rapida, ma è facile da dimenticare.
Oltre alle password, controlla la stanza. Limita la condivisione dello schermo solo all’host. Disattiva l’audio dei partecipanti, lasciando attivato solo l’oratore. Una volta che tutti sono entrati, blocca la riunione. Ciò impedisce le intrusioni da parte di persone che potrebbero essersi imbattute in un vecchio collegamento. E non pubblicare assolutamente link pubblici ai tuoi incontri sui social media o sui forum pubblici. Un collegamento aperto è un invito al pubblico sbagliato.
La realtà della sicurezza più ampia
Zoom ha subito un duro colpo a causa delle sue carenze in termini di sicurezza durante la pandemia. È l’elefante nella stanza. Ma non dare per scontato che altre piattaforme siano più pulite. Skype, Webex, Google Hangouts: presentano tutti delle vulnerabilità. Nessuno strumento di conferenza è immune. La privacy delle tue riunioni online non è garantita solo dal software; è garantito da come lo configuri. Applica lo stesso rigore che utilizzeresti per Zoom a ogni altro spazio virtuale in cui vivi.
Domande frequenti sul bombardamento zoom
L’attentato Zoom è un crimine?
Sì. In un comunicato stampa dell’aprile 2020, l’ufficio del procuratore distrettuale degli Stati Uniti ha chiarito che gli autori del reato possono affrontare accuse gravi. Questi includono l’interruzione di una riunione pubblica, l’intrusione informatica, l’utilizzo di un computer per commettere un crimine, crimini d’odio, frode o trasmissione di comunicazioni minacciose. Le sanzioni sono severe: sul tavolo multe e reclusione.
Come si ferma il bombardamento Zoom?
La sala d’attesa è la tua prima linea di difesa. Impedisce ai partecipanti di unirsi a meno che l’host non li ammetta esplicitamente. Oltre a ciò, limita la condivisione dello schermo all’host. Disattiva tutti i microfoni tranne quello dell’oratore attivo. Blocca la riunione una volta che tutti i partecipanti previsti si sono uniti. Questi strumenti sono disponibili direttamente sulla barra degli strumenti Zoom.
Che cos’è il bombardamento Zoom?
È l’atto degli ospiti non invitati che interrompono una riunione Zoom online. I troll di Internet si uniscono appositamente per bombardare gli altri partecipanti con contenuti che distraggono, offensivi o disturbanti. È vandalismo digitale.
Come funzionano le bombe Zoom?
A volte l’intruso si limita ad ascoltare, rimanendo silenzioso e invisibile. In altri casi, mandano in tilt la riunione con comportamenti espliciti o minacciosi. Il metodo varia, ma l’intento è disgregare.
È legale bombardare una classe con lo Zoom?
No. Il Dipartimento di Giustizia degli Stati Uniti ha esplicitamente avvertito che il bombardamento Zoom è illegale. A seconda del comportamento dell’ospite non invitato, può essere accusato di crimini statali e federali. L’atto in sé non è un discorso protetto; è un’intrusione criminale.
