A palestra de março de Karen Wilson deveria ser uma aula remota padrão. Em vez disso, tornou-se uma intrusão caótica. Dez minutos depois de sua apresentação, risadas irromperam dos palestrantes. Uma voz cortou o áudio, perguntando: “Que aula é essa?”
Quando ela perguntou quem estava lá, duas estudantes do ensino médio admitiram que haviam entrado acidentalmente. Eles fizeram algumas perguntas e foram embora. Então veio outro intruso. Anônimo. Macho. Falando alto sobre maconha.
Wilson não sabia como impedir. Ela era nova no Zoom. Ela pensou que era ruído de fundo. No momento em que ela percebeu que estranhos poderiam “aparecer” em sua reunião, o estrago estava feito. Ela foi bombardeada pelo Zoom.
A Mecânica da Intrusão
O zoom bombing é uma abreviação para estranhos se intrometendo em reuniões privadas. Às vezes eles apenas ouvem. Às vezes, eles perturbam com discursos de ódio, ameaças ou pornografia. Wilson pegou a versão suave. Outros pioram.
Como isso acontece? Não é mágica. É força bruta.
Dan Desko, especialista em segurança cibernética da Schneider Downs, explica que se trata essencialmente de enumerar combinações de URL. Para participar de uma reunião Zoom, você usa um link como https://zoom.us/j/55555523222. Os números no final são o ID da reunião. Se uma reunião não tiver senha, qualquer pessoa que adivinhar o ID entrará.
Desko testou isso. Em menos de um minuto, ele encontrou um ID de reunião legítimo. A reunião não estava ativa naquele momento, mas o ID existia. A falha é simples: se você adivinhar a identidade certa na hora certa, você está dentro. É como uma escuta telefônica. Você só precisa de sorte e um pouco de persistência.
Por que o Zoom não estava preparado
O Zoom explodiu de 10 milhões de usuários diários em dezembro de 2019 para 200 milhões em março. A empresa cresceu muito rápido. Não foi construído para esta escala.
“O Zoom é principalmente uma ferramenta de colaboração corporativa”, diz David Tuffley, professor da Griffith University. “Ao contrário das plataformas de redes sociais, não era um serviço que tinha de conceber formas de gerir o mau comportamento dos utilizadores – até agora.”
A plataforma presumiu que os usuários eram colegas. Não presumia que fossem alvos. O aumento repentino expôs falhas básicas de segurança. Falta de criptografia. Contas da dark web vendendo acesso. O FBI emitiu um comunicado em 30 de março. O Google proibiu o Zoom nos laptops dos funcionários. Algumas organizações simplesmente pararam de usá-lo.
A lacuna de criptografia
Segurança não envolve apenas senhas. É sobre como os dados se movem. Desko aponta três pilares: confidencialidade, integridade, disponibilidade.
A confidencialidade falhou primeiro. O Citizen Lab da Universidade de Toronto descobriu que a criptografia do Zoom não era tão forte quanto afirmava. A tecnologia era quebrável. Demorou meses para consertar. Mesmo em agosto de 2020, persistiram relatos de bombardeio do Zoom.
A integridade é mais difícil de definir. À medida que o Zoom se expandiu, passou a usar servidores na China com funcionários chineses. Isso levantou sobrancelhas. As preocupações com a confidencialidade ficaram mais altas. O Senado dos EUA pediu aos membros que evitassem o Zoom. O Pentágono seguiu em 10 de abril.
O que isso significa para os usuários
Você não pode confiar na plataforma para protegê-lo. Você tem que configurá-lo.
Reuniões sem senha são convites abertos. Adivinhar IDs é fácil se o intervalo for pequeno. A solução não é complexa. É disciplina.
Use salas de espera. Exigir senhas. Desative “Ingressar antes do host”. Verifique suas configurações de privacidade. O Zoom oferece essas ferramentas. A maioria das pessoas não os usa.
Por que? Porque é fácil compartilhar um link. Porque você confia nas pessoas do outro lado. Porque você está ocupado.
Mas confiança não é segurança. Sorte não é uma estratégia.
Na próxima vez que você participar de uma reunião, verifique o URL. Procure o campo de senha. Silencie-se. Suponha que você esteja sendo observado. Não é paranóia. É higiene básica.
A internet não se importa se você é professor. Não importa se você é um CEO. Só importa se você deixou a porta destrancada.
O Zoom não consertou tudo. Os servidores ainda são globais. A criptografia ainda está evoluindo. Os intrusos ainda estão adivinhando.
Você ainda está vulnerável. Você está assistindo?
Protegendo seu espaço virtual
A paisagem mudou. O Zoom não deixa mais as portas abertas por padrão. Reconhecendo o caos do “bombardeio Zoom”, a plataforma agora impõe protocolos mais rígidos desde o início. Cada nova reunião requer uma senha. A sala de espera está ativa por padrão, atuando como um segurança que examina os participantes antes que eles entrem no evento principal. E se você dependia do ID da reunião exibido na barra de título para compartilhar o acesso, isso também acabou. O ID está oculto, tornando significativamente mais difícil para os malfeitores adivinharem ou encontrarem o seu link.
Desko vê isso como uma evolução necessária. Manter o ID da reunião privado impede que as pessoas vinculem uma sessão específica à sua identidade ou organização. É uma camada defensiva. Ele aponta Boris Johnson como uma história de advertência. Quando o ex-primeiro-ministro do Reino Unido tuitou uma captura de tela contendo seu ID de reunião em março, ele não compartilhou apenas um número; ele compartilhou um endereço. Mesmo que a Bat Caverna seja segura, revelar a localização a torna um alvo. A senha se torna a única barreira real.
Para aqueles que levam a segurança a sério, a automação não é suficiente. Você deve alterar o ID da reunião e a senha a cada chamada. O Zoom permite gerar um novo ID automaticamente, mas você também pode definir uma senha personalizada. A responsabilidade recai sobre você para verificar essas configurações.
Se você tiver reuniões recorrentes configuradas com padrões antigos, elas ainda poderão estar vulneráveis. Você tem que voltar às configurações e atualizá-las. É uma solução rápida, mas é fácil de esquecer.
Além das senhas, controle a sala. Restrinja o compartilhamento de tela apenas ao host. Silencie os participantes, deixando apenas o orador sem som. Quando todos estiverem dentro, bloqueie a reunião. Isso evita invasões de pessoas que possam ter encontrado um link antigo. E absolutamente não publique links públicos para suas reuniões nas redes sociais ou em fóruns públicos. Um link aberto é um convite para o público errado.
A realidade mais ampla da segurança
O Zoom sofreu um grande golpe por suas deficiências de segurança durante a pandemia. É o elefante na sala. Mas não presuma que outras plataformas são mais limpas. Skype, Webex, Google Hangouts – todos eles têm vulnerabilidades. Nenhuma ferramenta de conferência está imune. A privacidade das suas reuniões online não é garantida apenas pelo software; é garantido pela forma como você o configura. Aplique o mesmo rigor que você usaria para o Zoom em todos os outros espaços virtuais que você habita.
Perguntas frequentes sobre bombardeio com zoom
O bombardeio Zoom é um crime?
Sim. Num comunicado de imprensa de abril de 2020, o gabinete do procurador distrital dos EUA esclareceu que os perpetradores podem enfrentar acusações graves. Estas incluem perturbar uma reunião pública, intrusão informática, utilização de um computador para cometer crimes, crimes de ódio, fraude ou transmissão de comunicações ameaçadoras. As penas são severas: multas e prisão estão em jogo.
Como você interrompe o bombardeio do Zoom?
A sala de espera é sua primeira linha de defesa. Impede que os participantes participem, a menos que o anfitrião os admita explicitamente. Além disso, restrinja o compartilhamento de tela ao host. Silencie todos os microfones, exceto o alto-falante ativo. Bloqueie a reunião assim que todos os participantes pretendidos ingressarem. Essas ferramentas estão disponíveis diretamente na barra de ferramentas Zoom.
O que é o bombardeio Zoom?
É o ato de convidados indesejados interromperem uma reunião online do Zoom. Os trolls da Internet juntam-se especificamente para bombardear outros participantes com conteúdo perturbador, ofensivo ou perturbador. É vandalismo digital.
Como funcionam as bombas Zoom?
Às vezes, o intruso apenas escuta, permanecendo em silêncio e invisível. Em outros casos, eles interrompem a reunião com comportamento explícito ou ameaçador. O método varia, mas a intenção é a disrupção.
É legal bombardear uma aula com Zoom?
O Departamento de Justiça dos EUA alertou explicitamente que o bombardeio Zoom é ilegal. Dependendo do comportamento do hóspede indesejado, ele pode ser acusado de crimes estaduais e federais. O ato em si não é um discurso protegido; é uma intrusão criminosa.
