La notizia in sintesi
- Zoom ha corretto una falla nell’annotazione durante la condivisione dello schermo.
- A Security ha individuato un attacco funzionante con meno di 20 prompt AI.
- La vulnerabilità riguardava tutte le piattaforme supportate dall’applicazione.
- Le correzioni includono interventi sui server e sulle applicazioni degli utenti.
(Riassunto generato con AI)
Zoom corregge la falla nelle riunioni video
Zoom ha corretto martedì una vulnerabilità di sicurezza che avrebbe potuto consentire a un aggressore di prendere il controllo del dispositivo di un partecipante durante una riunione, senza richiedere alcuna azione alla vittima. Il rischio riguardava le chiamate sulla piattaforma, in particolare quelle in cui veniva usata la funzione di annotazione in tempo reale durante la condivisione dello schermo.
La scoperta è attribuita ai ricercatori della società di difesa digitale A Security, che riferiscono di aver individuato il problema all’inizio di giugno usando modelli di intelligenza artificiale pubblicamente accessibili e meno di 20 prompt. La falla ha interessato le versioni di Zoom per Windows, macOS, Linux, iOS e Android.
La correzione è rilevante perché una riunione video viene normalmente considerata un ambiente affidabile, sia nelle conversazioni private sia nelle attività professionali, nei webinar e negli eventi con molti partecipanti.
Come funzionava l’attacco e perché preoccupa
Il componente vulnerabile era il protocollo che gestisce le annotazioni durante lo screen sharing, cioè gli strumenti che permettono ai partecipanti di disegnare o aggiungere indicazioni sullo schermo condiviso. Secondo A Security, questa funzione avrebbe consentito a un aggressore, presente come ospite o partecipante, di eseguire codice dannoso sul dispositivo della vittima.
L’attacco non richiedeva clic, download o altre interazioni da parte dell’utente e non mostrava segnali visivi del compromesso. Le conseguenze potenziali includevano il furto di dati, l’attivazione di videocamera o microfono e l’installazione di malware. Yossi Torati, cofondatore di A Security, ha evidenziato il rischio di usare il controllo del computer e le credenziali sottratte per muoversi all’interno della rete di un’azienda.
Omer Gull, altro cofondatore della società, ha richiamato l’attenzione sull’abbassamento della soglia tecnica: attività che in passato avrebbero richiesto team specializzati, mesi di lavoro e continue verifiche possono oggi essere accelerate da strumenti AI. Idan Levcovich, ricercatore di vulnerabilità di A Security, ha sostenuto che l’esploit è stato prodotto in un solo giorno con un agente AI e modelli accessibili al pubblico.
Zoom ha diffuso correzioni sia lato server sia lato client. La vicenda mostra come funzioni poco visibili e complesse dei software proprietari possano diventare superfici d’attacco rilevanti, anche quando il prodotto è ampiamente usato e sottoposto a controlli interni.
La corsa tra aggiornamenti e ricerca automatizzata
Il caso di Zoom non riguarda soltanto una singola funzione, ma segnala l’impatto dell’automazione nella ricerca di falle informatiche. I ricercatori hanno concentrato l’analisi proprio su una componente complessa e meno comune, ritenendo che le funzioni oscure possano contenere errori trascurati.
Per utenti e organizzazioni, la conseguenza immediata è verificare di utilizzare l’applicazione aggiornata e le correzioni distribuite dalla piattaforma. Per i produttori di software, l’episodio rafforza la necessità di testare con continuità anche le funzioni periferiche, non solo i percorsi d’uso più frequenti.
La diffusione della ricerca assistita dall’AI può accelerare sia la scoperta responsabile delle vulnerabilità sia il loro possibile sfruttamento, rendendo più rapido il confronto tra difesa e attacco.
FAQ
Quale funzione di Zoom era vulnerabile?
Sì, la falla era nel protocollo delle annotazioni in tempo reale durante la condivisione dello schermo nelle riunioni Zoom.
Su quali sistemi operativi agiva la vulnerabilità?
Sì, il problema interessava le app Zoom per Windows, macOS, Linux, iOS e Android.
La vittima doveva compiere un’azione?
No, l’attacco non richiedeva interazioni della vittima e, secondo A Security, non offriva alcun segnale visivo del compromesso.
Cosa poteva fare un aggressore?
Sì, poteva eseguire codice dannoso, sottrarre dati, attivare microfono o videocamera e installare malware sul dispositivo colpito.
Come è stata verificata questa notizia?
Sì, il contenuto nasce da un’analisi approfondita e da verifica incrociata della nostra Redazione su più fonti: The Verge e WIRED.
