Zoom heeft intussen een update uitgebracht nadat onderzoekers van A Security een kwetsbaarheid hadden gevonden waarmee een andere deelnemer tijdens een normaal videogesprek de controle over je apparaat kon krijgen. Wie Zoom gebruikt, kan die update dus maar beter zo snel mogelijk installeren. Wat er vooral uitspringt: de onderzoekers van A Security zeggen dat ze de fout vonden met minder dan 20 prompts, gestuurd naar openbaar beschikbare AI-modellen.
Voor een overname van je apparaat was één videogesprek al genoeg
Volgens A Security zat het probleem in het annotatiesysteem van Zoom, de functie waarmee deelnemers tijdens een vergadering op het scherm kunnen tekenen. Met een speciaal opgebouwd bericht kon op afstand code worden uitgevoerd op het toestel van een andere deelnemer, zonder dat die daar iets van merkte. Alleen al aanwezig zijn in het gesprek zou voldoende zijn geweest.
A Security zegt dat de kwetsbaarheid voorkwam op Windows, macOS, Linux, Android en zelfs iOS. Via deze methode kon een aanvaller toegang krijgen tot gegevens op het apparaat, de camera of microfoon inschakelen en, erger nog, malware installeren. In de praktijk kwam dat er volgens A Security op neer dat bijna elk apparaat dat met Zoom overweg kan, risico liep.
Misschien nog het meest opvallend: A Security zegt binnen 24 uur een werkende exploit te hebben gebouwd. We zagen eerder al hoe sommige hackers AI inzetten om computers over te nemen, terwijl Zoom zelf óók AI-functies aan zijn platform toevoegt. Dat je met amper 20 berichten aan een AI al zo’n aanval in elkaar kunt zetten, laat vooral zien hoe broos beveiliging kan zijn op een moment waarop bijna niets nog echt veilig aanvoelt.
De update voor dit lek is inmiddels door Zoom uitgebracht. Door de app bij te werken, wordt de kwetsbaarheid gesloten en kun je Zoom weer gebruiken met de nieuwste bescherming die beschikbaar is. Al blijft het natuurlijk afwachten wat er als volgende opduikt.
