L'IA ha trovato un bug in Zoom che potrebbe dare agli attaccanti il controllo completo del tuo dispositivo

Punti chiave

• I ricercatori della società A Security hanno scoperto vulnerabilità critiche in Zoom all'inizio di giugno 2025 utilizzando strumenti di IA disponibili pubblicamente.
• Sono stati necessari meno di 20 prompt di IA per trovare le falle e costruire un attacco funzionante.
• Qualsiasi partecipante a una chiamata Zoom con condivisione dello schermo, host o ospite, avrebbe potuto avere il suo dispositivo compromesso senza fare clic su nulla.
• Zoom ha ora rilasciato patch, correzioni implementate sia sui suoi server che sulle app installate sui dispositivi degli utenti, coprendo Windows, macOS, Linux, iOS e Android.
• I ricercatori avvertono che l'IA sta riducendo il costo e le competenze necessarie per trovare questa classe di vulnerabilità a quasi zero.

Un bug di sicurezza nella funzione di condivisione dello schermo di Zoom avrebbe potuto consentire a un attaccante di assumere il controllo silenziosamente e totale di qualsiasi dispositivo durante una chiamata. Nessun clic necessario. Nessun avvertimento sullo schermo. Basta partecipare alla riunione e il tuo computer era a rischio.

I ricercatori della società di difesa digitale A Security hanno divulgato i risultati martedì, come riportato per primo da Wired. Zoom ha emesso un avviso di sicurezza lo stesso giorno e ha confermato di aver già iniziato a distribuire le correzioni.

Come funzionava l'attacco?

La falla si trovava nel protocollo, l'insieme di regole che due parti di software seguono per comunicare tra loro, che Zoom utilizza per la sua funzione di annotazione in tempo reale durante la condivisione dello schermo. Questo è lo strumento che consente alle persone di disegnare frecce o evidenziare parti di uno schermo condiviso.

L'annotazione è codice oscuro e complesso. I ricercatori di sicurezza, sia umani che assistiti dall'IA, sanno che il codice oscuro e complesso è esattamente il luogo in cui si nascondono gli errori. Gli strumenti assistiti dall'IA di A Security si sono concentrati su quel componente per esattamente questo motivo.

Chiunque partecipasse a una chiamata in cui era attiva la condivisione dello schermo era esposto. Ciò significa che i partecipanti a webinar, riunioni di lavoro da remoto e lezioni online erano tutti bersagli potenziali, senza fare nulla di sbagliato.

Cosa avrebbe potuto fare un attaccante?

"Se ti unisci semplicemente a una riunione Zoom con noi, possiamo assumere il controllo del tuo dispositivo," ha detto a Wired Yossi Torati, co-fondatore di A Security. La chiamata durante la quale ha detto questo, incidentalmente, era in esecuzione su Microsoft Teams.

Lo scenario peggiore è drastico. Un attaccante partecipa a una riunione aziendale, sfrutta il bug per assumere il controllo del computer di un dipendente, ruba le credenziali di accesso di quel dipendente e poi utilizza quelle credenziali per muoversi attraverso i sistemi interni dell'azienda. Un invito a una riunione diventa una porta d'accesso nell'intera organizzazione.

Perché l'aspetto dell'IA è importante?

Questa è la parte che preoccupa i ricercatori oltre il bug di Zoom stesso.

"In precedenza avrebbe richiesto un team di cinque persone forse sei mesi," ha detto a Wired Omer Gull, co-fondatore di A Security. "Ora le persone possono ottenere gli stessi risultati con meno di 20 prompt."

I modelli di IA disponibili pubblicamente, gli stessi modelli di linguaggio di grandi dimensioni (tecnologia dietro i chatbot consumer come ChatGPT) a cui chiunque può accedere online, hanno svolto il lavoro pesante. La barriera che una volta manteneva questo tipo di ricerca nelle mani di team ben finanziati si sta crollando rapidamente.

Questo ha due lati. I difensori possono utilizzare gli stessi strumenti. Ma così possono farlo i criminali con molte meno risorse di prima.

Gli utenti di Zoom sono al sicuro ora?

Sì, se la tua app Zoom è aggiornata. Zoom ha corretto la falla sia sui suoi server che nelle applicazioni che le persone installano sui loro dispositivi. La correzione copre ogni sistema operativo supportato da Zoom: Windows, macOS, Linux, iOS e Android.

Aggiorna la tua app Zoom adesso se non l'hai fatto di recente. La maggior parte dei dispositivi si aggiorna automaticamente, ma ci vogliono trenta secondi per verificare.

A cosa dovresti stare attento?

L'attacco non ha lasciato traccia visibile, quindi non puoi individuarlo successivamente per percezione. Quello che puoi fare:

• Mantieni Zoom e ogni app di videochiamata sempre aggiornati.
• Tratta gli inviti a riunioni inaspettate da sconosciuti con lo stesso scetticismo che dai alle email inaspettate.
• Se la tua organizzazione utilizza Zoom per grandi eventi o webinar, conferma con il tuo team IT che la versione client più recente è distribuita su tutti i dispositivi.
• Ricorda che partecipare a una chiamata non è intrinsecamente sicuro. Funzioni di condivisione dello schermo, strumenti di annotazione, trasferimenti di file: uno qualsiasi di questi rappresenta superfici che i ricercatori controllano proprio per cercare questo tipo di falla.