La IA encontró una brecha de seguridad en Zoom en un día que antes tardaba meses a los estados nacionales

Puntos clave

• La firma de seguridad A Security descubrió una vulnerabilidad crítica en la función de anotación de Zoom en un solo día utilizando herramientas de IA que cualquiera puede acceder.
• El fallo afectó a Zoom en las cinco plataformas principales: Windows, macOS, Linux, Android e iOS.
• Un atacante podría robar datos, activar la cámara o micrófono de una víctima o instalar malware, todo sin advertencia visible en pantalla.
• Zoom emitió un parche el martes, por lo que los usuarios que mantienen la actualización automática ya están protegidos.
• Un investigador de A Security dijo que esta clase de ataque requería previamente equipos financiados por gobiernos de élite y meses de trabajo.

Zoom ha corregido una grave falla de seguridad en su aplicación después de que investigadores de una firma llamada A Security descubrieran que podían hacerse cargo del dispositivo de otra persona durante una reunión, silenciosamente y sin advertencia alguna.

La vulnerabilidad, reportada por primera vez por The Verge AI, estaba dentro de la función de anotación de Zoom. Es la herramienta que permite a los participantes de la reunión dibujar o resaltar cosas en una pantalla compartida. Al explotar una debilidad en la forma en que esa función manejaba ciertos datos, un atacante solo necesitaba unirse o albergar una reunión. Desde allí, podían ejecutar software malicioso, código diseñado para causar daño, en el dispositivo de la víctima sin que la víctima hiciera nada en absoluto.

¿Qué podría hacer realmente un atacante?

Bastante. El exploit permitió a un atacante la capacidad de robar archivos, encender una cámara o micrófono sin conocimiento del propietario, o instalar malware, software que se oculta en un dispositivo y causa daño continuo. Nada en pantalla advertiría a la víctima de que estaba sucediendo.

Zoom parcheó el fallo el martes. Si tiene las actualizaciones automáticas activadas, ya está ejecutando la versión corregida. Si actualiza manualmente, abra Zoom, vaya a su perfil y verifique las actualizaciones ahora.

¿Por qué importa la rapidez con que los investigadores la encontraron?

La velocidad es la noticia aquí. Tradicionalmente, encontrar este tipo de vulnerabilidad profunda de software requería lo que los investigadores llaman recursos de estado nacional: un equipo capacitado y bien financiado, a menudo trabajando para un gobierno, pasando meses buscando una sola debilidad explotable. Por eso los gobiernos tratan ciertos hackers como armas controladas.

A Security dice que encontró y construyó un exploit funcional en un solo día, utilizando un agente de IA (software que puede realizar tareas de múltiples pasos por sí solo) y modelos de IA que cualquiera puede descargar o acceder en línea. La firma utilizó menos de 20 prompts, es decir, menos de 20 instrucciones escritas, para guiar a la IA a través del proceso.

"Producir un exploit funcional contra él siempre ha sido trabajo de estado nacional: equipos de élite, meses de esfuerzo, presupuestos que los gobiernos regulan como armas", escribió Idan Levcovich, investigador de vulnerabilidades en A Security. "Lo hicimos en un solo día, con un agente de IA y modelos que cualquiera puede acceder hoy".

¿Qué significa esto para los usuarios ordinarios de Zoom?

Por ahora, actualice Zoom y continúe. El parche cierra esta puerta específica.

La preocupación más amplia es lo que la velocidad del descubrimiento señala. Si un equipo legítimo de seguridad puede encontrar una falla crítica en horas usando herramientas de IA estándar, actores menos escrupulosos tienen el mismo conjunto de herramientas. La brecha entre lo que pueden hacer los hackers expertos y lo que puede hacer un aficionado decidido se está estrechando.

Los investigadores de seguridad han advertido durante algún tiempo que la IA aceleraría ambos lados de la ciberseguridad, los defensores y los atacantes. Este episodio es un punto de datos concreto, no uno hipotético.