Con el aumento exponencial del uso de plataformas de videoconferencia causado por el aislamiento social por los contagios masivos de COVID-19 en todo el planeta, Zoom, Skype, Teams, Hangouts, entre otros, se han convertido en un blanco para los hackers que buscan robar información sensible o causar daño en reuniones o clases llevadas a cabo en esas plataformas. Históricamente, cada aplicación o sistema que logra una masa de usuarios de decenas de millones, se convierte en un blanco para hackers y motivo de atención para la prensa.
Por lo tanto, desde ahora en adelante, serán frecuentes las noticias sobre la seguridad de Zoom y otros, y no nos debe sorprender. Sin embargo, debemos estar atentos a esas noticias y actuar rápidamente con las recomendaciones y actualizaciones de los proveedores del servicio, como Zoom, dan a sus usuarios.
1. El Jueves 2 de abril, Zoom envió una actualización a todos sus usuarios para parchar una vulnerabilidad debida a un protocolo en sistemas Windows que podría ser mal utilizado y causar una brecha de seguridad. Esta fue la noticia que apareció masivamente durante la semana, pero ya está parchada.
2. Zoom planea enviar una actualización este lunes 6 de abril para mejorar las opciones de seguridad para la configuración de la sesión y evitar el uso mal intencionado.
3. Recomendamos enfáticamente mantener actualizada la aplicación de Zoom. Para más información, pueden revisar el sitio oficial de Zoom (Ir al sitio).
4. Respecto de lo anterior, es muy importante no descargar actualizaciones desde sitios no oficiales (por ejemplo, de links o mensajes recibidos por email, SMS, WhatsApp u otros medios).
5. Normalmente en dispositivos con Windows, MacOS, iOS o Android el sistema alerta sobre una nueva versión del software Zoom para que sea actualizado por los usuarios.
Buenas prácticas para los usuarios
Dado que comportamientos seguros individuales mejoran la seguridad de todos, recomendamos seguir las siguientes instrucciones para utilizar esta plataforma:
- No utilizar el Personal Meeting ID para llevar a cabo las reuniones. Lo más seguro es programar la reunión con anticipación.
- Al programar una reunión tener en cuenta los siguientes pasos:
- Seleccionar “Regitration – required”, o “Registro – requerido”.
- Seleccionar “Meeting ID”, generado automáticamente, no el Personal Meeting ID.
- Seleccionar “Meeting Password”, generado automáticamente por cada reunión. No utilizar la misma clave para cada sesión.
- Deshabilitar la opción “Join before host”, o “usuarios se unan antes que el host”. Con esto previene que alguna persona indeseada se una a la reunión.
- Seleccionar la opción “sala de espera o waiting room”, para que quien convoca deje ingresar a la sesión sólo a los usuarios deseados. Para esto, se recomienda tener a mano una lista de las personas a las que se invitó previamente.
- Seleccionar “Only autenticated users can join”, o “Sólo usuarios autenticados pueden unirse”. Esto asegura que sólo usuarios ya autenticados en Zoom puedan ingresar a la sesión y no a usuarios anónimos que pueden ser indeseados.
- Una vez programada la reunión, envíe la invitación a los invitados a través de un medio cifrado, por ejemplo, si lo envía por email, asegúrese que su email esté configurado con las opciones de canal punto a punto seguro. Más información puede encontrar aquí.
- Al llevar a cabo la sesión, revisar las opciones avanzadas para compartir pantalla, para evitar que los invitados compartan la pantalla libremente y sea sólo el host el que dé la autorización cuando sea necesario. De esta manera se evita que invitados indeseados proyecten información que no corresponda.
Contexto mundial y antecedentes técnicos
Dada la masividad exponencial del uso de estas, es importante que los usuarios no se dejen llevar por noticias sensacionalistas provenientes de sitios no especializados en seguridad.
Respecto de la noticia publicada en diferentes medios sobre la seguridad de Zoom esta semana, recomendamos poner atención a lo que Zoom y los expertos responden. Para más información, pueden ver el sitio de Zoom.
Es importante entender algunos detalles de cómo funciona la comunicación que provee Zoom y otros sistemas que dicen contar con seguridad punto a punto, o extremo-extremo.
Técnicamente, la encriptación punto a punto se refiere a un canal de comunicación cifrado con protocolos TLS/SSL que asegura que nadie pueda descifrar la información que viaja por ese canal si llega a interceptarlos. Este canal de comunicación se establece al inicio de la sesión y no es posible atacarlo con facilidad.
Sin embargo, los extremos, es decir los usuarios que se conectan a una sesión, pueden ser atacados de otras formas. Por esta razón los hackers buscan atacar los extremos o usuarios por medio de engaños (o phishing) para acceder a una sesión, robar información o credenciales de acceso, o causar daños durante la realización de la sesión Zoom. Información técnica más específica puede encontrarse aquí.
Por lo tanto, es muy importante que cada uno se preocupe de mantener sus sistemas actualizados, con antivirus, no caer en engaños (o phishing) de links o mensajes recibidos por email o SMS o WhatsApp u otros medios.
La seriedad con que se tome y practique la seguridad de cada uno, cuidará que el sistema completo funcione y no cause problemas o daños al resto de los usuarios.