IA Encontrou um Bug do Zoom que Poderia Dar aos Atacantes Controlo Total do Seu Dispositivo

Pontos principais

• Investigadores da empresa A Security descobriram vulnerabilidades críticas no Zoom no início de junho de 2025 utilizando ferramentas de IA disponíveis ao público.
• Foram necessários menos de 20 prompts de IA para encontrar as falhas e construir um ataque funcional.
• Qualquer participante numa chamada de partilha de ecrã do Zoom, anfitrião ou convidado, poderia ter o seu dispositivo assumido sem clicar em nada.
• O Zoom emitiu agora patches e correções implementadas tanto nos seus servidores como nas aplicações nos dispositivos dos utilizadores, cobrindo Windows, macOS, Linux, iOS e Android.
• Os investigadores advertem que a IA está a reduzir o custo e a competência necessária para encontrar esta classe de vulnerabilidade para praticamente zero.

Um bug de segurança na funcionalidade de partilha de ecrã do Zoom poderia ter permitido a um atacante assumir silenciosamente o controlo total de qualquer dispositivo numa chamada. Sem necessidade de clicar. Sem aviso no ecrã. Apenas entrar na reunião e a sua máquina estava em risco.

Investigadores da empresa de defesa digital A Security divulgaram as conclusões na terça-feira, primeiro reportado pela Wired. O Zoom emitiu um aviso de segurança no mesmo dia e confirmou que já começou a implementar correções.

Como funcionava o ataque?

A falha estava no protocolo, o conjunto de regras que dois softwares seguem para se comunicarem entre si, que o Zoom utiliza para a sua funcionalidade de anotação em tempo real durante a partilha de ecrã. Esta é a ferramenta que permite às pessoas desenhar setas ou destacar partes de um ecrã partilhado.

A anotação é código obscuro e complexo. Investigadores de segurança, humanos e IA, sabem que código obscuro e complexo é exatamente onde se escondem os erros. As ferramentas assistidas por IA da A Security focaram-se nesse componente precisamente por essa razão.

Qualquer pessoa numa chamada onde a partilha de ecrã estava ativa estava exposta. Isso significa que participantes de webinars, reuniões de trabalho remoto e aulas online eram todos alvos potenciais, sem fazerem nada errado.

O que um atacante poderia realmente fazer?

"Se apenas entrares numa chamada do Zoom connosco, podemos assumir o controlo do teu dispositivo", disse Yossi Torati, co-fundador da A Security, à Wired. A chamada em que ele disse isso, aliás, estava a ser executada no Microsoft Teams.

O cenário de pior caso é assustador. Um atacante entra numa chamada da empresa, explora o bug para assumir o controlo do computador de um funcionário, rouba as credenciais de início de sessão desse funcionário e depois utiliza essas credenciais para se movimentar pelos sistemas internos da empresa. Um convite para uma reunião torna-se uma porta de entrada para toda uma organização.

Por que é que o aspecto da IA é importante?

Esta é a parte que preocupa os investigadores para além do bug do Zoom em si.

"Antes teria levado uma equipa de cinco pessoas talvez seis meses", disse Omer Gull, co-fundador da A Security, à Wired. "Agora as pessoas conseguem chegar aos mesmos resultados com menos de 20 prompts."

Modelos de IA disponíveis ao público, os mesmos modelos de linguagem grandes (tecnologia por trás de chatbots de consumidor como o ChatGPT) que qualquer pessoa pode aceder online, fizeram o trabalho pesado. A barreira que outrora mantinha esta espécie de investigação nas mãos de equipas bem financiadas está a colapsar rapidamente.

Isto é uma faca de dois gumes. Os defensores podem utilizar as mesmas ferramentas. Mas também podem criminosos com muito menos recursos do que antes.

Os utilizadores do Zoom estão seguros agora?

Sim, se a sua aplicação do Zoom estiver atualizada. O Zoom corrigiu a falha tanto nos seus próprios servidores como nas aplicações que as pessoas instalam nos seus dispositivos. A correção cobre todos os sistemas operativos que o Zoom suporta: Windows, macOS, Linux, iOS e Android.

Atualize a sua aplicação do Zoom agora se não o fez recentemente. A maioria dos dispositivos atualiza automaticamente, mas leva trinta segundos a verificar.

O que deve observar?

O ataque não deixou vestígios visíveis, por isso não pode detetá-lo depois do facto por sensação. O que pode fazer:

• Manter o Zoom e todas as aplicações de videochamada sempre atualizados.
• Tratar convites para reuniões inesperados de desconhecidos com o mesmo ceticismo que dá a e-mails inesperados.
• Se a sua organização utiliza o Zoom para eventos grandes ou webinars, confirme com a sua equipa de TI que a versão cliente mais recente é implementada em todos os dispositivos.
• Lembre-se que entrar numa chamada não é inerentemente seguro. Funcionalidades de partilha de ecrã, ferramentas de anotação, transferências de ficheiros: qualquer uma destas são superfícies que investigadores analisam à procura exatamente deste tipo de falha.