Un fallo al compartir pantalla en Zoom dejaba tu computadora expuesta a hackers

Los modelos de IA son cada vez más capaces de detectar fallas de seguridad, encontrar formas de explotarlas e incluso lanzar ataques por su cuenta. Un nuevo caso muestra hasta dónde pueden llegar estas capacidades: investigadores descubrieron vulnerabilidades en Zoom que podrían haber permitido tomar el control de los dispositivos de los usuarios.

Cualquier persona que participara en una videollamada en la que se compartiera pantalla, ya fuera como anfitrión o participante, podía quedar expuesta a un ataque silencioso, sin necesidad de hacer clic, responder o realizar ninguna otra acción.

Investigadores de la empresa de ciberseguridad A Security aseguran que descubrieron las fallas a principios de junio utilizando modelos de IA disponibles públicamente. Según explican, necesitaron menos de 20 indicaciones para identificar las vulnerabilidades y desarrollar un ataque funcional. Zoom publicó posteriormente un aviso de seguridad con detalles sobre las correcciones que ya comenzó a implementar. Las fallas afectaban a dispositivos con todos los sistemas operativos compatibles con Zoom: Windows, macOS, Linux, iOS y Android.

«Lo que nos parece interesante, y también peligroso, es la democratización de estas capacidades: la barrera de entrada está bajando rápidamente», declaró a WIRED Omer Gull, cofundador de A Security, antes de que se hicieran públicos los hallazgos. Añade: «Antes, un equipo de cinco personas quizá habría necesitado seis meses, además de mucho trabajo de prueba y ajuste, para descubrir algo así. Ahora se pueden obtener resultados similares con menos de 20 indicaciones. Y Zoom es un objetivo importante porque la gente confía en la plataforma de forma casi automática. No la percibe como una amenaza».

Ya nadie está seguro compartiendo pantalla

Las vulnerabilidades estaban en el protocolo que permite hacer anotaciones en tiempo real mientras se comparte la pantalla. Los investigadores explican que sus herramientas de detección de fallas con IA se centraron en este componente porque, al igual que los expertos humanos, están entrenadas para buscar problemas en funciones complejas y poco visibles, donde es más fácil que una vulnerabilidad pase desapercibida. Este riesgo puede ser mayor en el software propietario y de código cerrado, que no está expuesto a una revisión pública.

Aunque es de suponer que una empresa consolidada como Zoom revisa rigurosamente su código, algunas funciones menos utilizadas y más complejas, como las anotaciones, pueden seguir ocultando errores. Zoom no respondió a las múltiples solicitudes de comentarios de WIRED sobre los hallazgos de A Security.

Las fallas ya fueron corregidas. Zoom publicó parches tanto para sus servidores como para las aplicaciones instaladas en los dispositivos de los usuarios. Aun así, los investigadores consideran preocupante que estas vulnerabilidades pudieran haberse utilizado para tomar el control de un dispositivo con solo lograr que la víctima se uniera a una llamada.

Entrar a una videollamada implica cierto grado de confianza. Pero como estas plataformas se utilizan constantemente tanto en el trabajo como en la vida personal, y Zoom también es habitual en seminarios web y otros eventos semipúblicos, muchas personas bajan la guardia al conectarse.

«Si simplemente te unes a una llamada de Zoom con nosotros, podemos tomar el control de tu dispositivo. En el peor de los casos, podríamos comprometer una empresa entera con esta vulnerabilidad. Si fuera un hacker, podría entrar en una llamada con un empleado, tomar el control de su computadora y de sus credenciales, y utilizarlas después para acceder a otros sistemas de la organización», explicó a WIRED Yossi Torati, cofundador de A Security, durante una llamada realizada, curiosamente, a través de Microsoft Teams.

La seguridad informática suele describirse como un juego del gato y el ratón. Pero con la IA acelerando la búsqueda de vulnerabilidades, esa competencia se está convirtiendo en una carrera cada vez más intensa.

Artículo originalmente publicado en WIRED.com Adaptado por Alondra Flores.