I ricercatori di Check Point hanno lavorato con Zoom per identificare un problema di sicurezza nella funzione di personalizzazione dell’URL. La falla avrebbe permesso ad un hacker di manipolare i link ID di riunioni, così da fingersi un dipendente di una potenziale azienda e fornire un vettore per il furto di credenziali o informazioni sensibili.
Secondo Zoom, un Vanity URL è un indirizzo di rete personalizzato di un’azienda, necessario per la configurazione, se si intende attivare l’SSO (Single SignOn). E’ anche possibile brandizzare una vanity page per avere il proprio logo/marchio e, solitamente, gli utenti cliccano direttamente sul link per partecipare ad una riunione.
Due modalità per sfruttare la falla
Un potenziale problema di sicurezza avrebbe potuto permettere ad un hacker di manipolare un Vanity URL in due modi:
- Targeting tramite link diretti: durante l’organizzazione di un meeting, l’hacker potrebbe modificare l’URL d’invito inserendo un sottodominio e cambiando il link originale. Senza una specifica formazione in ambito cybersecurity, un utente potrebbe non riconoscere la sua inautenticità o credere, che esso sia stato emesso da un’azienda realmente esistente.
- Targeting delle interfacce web dedicate a Zoom: alcune aziende dispongono di una interfaccia web Zoom personalizzata per le conferenze che un hacker potrebbe prendere di mira, tentando di reindirizzare un utente verso l’inserimento dell’ID di meeting nel Vanity URL dannoso. Come nel caso degli attacchi tramite link diretti, senza un peculiare formazione in cybersecurity, la vittima potrebbe non essere in grado di riconoscere l’URL dannoso e cadere vittima dell’imbroglio.
Check Point Research e Zoom, che avevano già lavorato insieme lo scorso gennaio, per scongiurare un’altra potenziale vulnerabilità relativa ad attacchi di haker, si sono uniti nuovamente per impostare ulteriori salvaguardie per la protezione degli utenti.
Come afferma, in effetti, Pierluigi Torriani, Security Engineering Manager, Italy:
“Poiché Zoom è diventato uno dei principali canali di comunicazione, a livello mondiale, in ambito business, governativo e consumer, è fondamentale che agli hacker sia impedito di sfruttare la piattaforma per scopi criminali. Lavorando insieme al team di sicurezza di Zoom, abbiamo aiutato l’azienda a fornire agli utenti di tutto il mondo un’esperienza di comunicazione più sicura, semplice e affidabile”
