Zoom Estrategias de ciberseguridad y privacidad

19 de enero de 2023
Cayley Wetzig, Jefe de Comunicaciones de Marketing

La difusión de COVID-19 llevó a muchas organizaciones a adoptar políticas de trabajo desde casa; en 2022, una cuarta parte de los estadounidenses trabajaban desde casa. Como resultado, más personas que nunca empezaron a utilizar herramientas de conferencia en línea, como Zoom, para comunicarse y colaborar con sus compañeros, lo que generó problemas de ciberseguridad.

Zoom, una plataforma conocida por su sencillez y fiabilidad, fue la que ganó más popularidad gracias a la rápida adaptación de su empresa matriz a los cambios y a la mejora de las funciones para los usuarios. Aplicaciones similares como Skype y Teams recibieron menos atención por parte de Microsoft, lo que permitió que Zoom se convirtiera rápidamente en una de las favoritas de organizaciones y equipos de todo el mundo por su sencillez.

El crecimiento conlleva riesgos

A principios de abril de 2020, las acciones de la empresa habían subido más de un 200% en comparación con el comienzo del año, incluso después de que el S&P 500 cayera alrededor de un 20% en el mismo periodo de tiempo. Aunque el precio de las acciones ha vuelto a estabilizarse, el equipo de operaciones de ingeniería de Zoom ha seguido añadiendo servidores y otros equipos en cada una de las 17 ubicaciones de centros de datos de la empresa para dar cabida a su base de usuarios en rápido crecimiento.

Sin embargo, un cambio transformacional rápido puede conllevar riesgos. Aunque Zoom es cómodo y fácil de usar, cualquier aplicación de videoconferencia puede plantear riesgos para los usuarios, como la posibilidad de escuchas, robo de datos, pérdida de privacidad, acoso y otros. Y debido al rápido crecimiento de su lista de funciones, Zoom ha sufrido algunos pasos en falso en materia de privacidad en los últimos años.

Fallos de seguridad de Zoom: Problemas resueltos

En este artículo, trataremos todo lo que necesitas saber sobre ciberseguridad y privacidad en Zoom, incluidas las vulnerabilidades de seguridad que han surgido en los últimos años. En el momento de redactar este artículo, no se conocen vulnerabilidades sin parche, pero han aparecido varias en los últimos meses.

A continuación, encontrarás vulnerabilidades de seguridad notables que surgieron durante el periodo de crecimiento considerable de Zoom durante la pandemia COVID-19.

1. Vulnerabilidad del cliente Mac Zoom (Zoom lo ha solucionado)

En julio de 2019 se descubrió una vulnerabilidad descubierta en el cliente de escritorio Mac de Zoom: Los sitios web maliciosos tenían la capacidad de encender la cámara web de un Mac sin el conocimiento del usuario.

Esta vulnerabilidad tiene su origen en la forma en que Zoom permite a los usuarios iniciar o unirse a una reunión simplemente haciendo clic en un enlace web, lo que crea un servidor web local que se ejecuta en la máquina del usuario. Aunque esto es cómodo para los usuarios, en el momento en que se lanzó, también permitía iniciar reuniones con vídeo y audio sin autorización adicional del usuario. Así, permitía a los atacantes iniciar una reunión y encender la cámara de un ordenador sin obtener primero la autorización del usuario del ordenador.

Los usuarios podían protegerse de esta vulnerabilidad desactivando la capacidad de Zoom de encender su cámara web al entrar en una reunión. Sin embargo, esta vulnerabilidad de seguridad fue parcheada con relativa rapidez.

2. Zoom Meeting ID Vulnerability (Zoom lo ha solucionado)

En enero de 2020, los investigadores encontraron en que era posible explotar la forma en que Zoom genera las URL de las salas de conferencias virtuales para espiar las reuniones. Mediante el uso de herramientas automatizadas para generar ID aleatorios de salas de reuniones, los investigadores descubrieron durante las pruebas que podían generar enlaces a reuniones reales de Zoom sin protección por contraseña en alrededor del 4 % de los casos.

Los identificadores de reunión de Zoom se componían de 9, 10 u 11 dígitos y, por aquel entonces, si no se activaba la opción "Requerir contraseña de reunión"o habilitaba la sala de espera de Zoom, que permite la admisión manual de participantes, estos 9, 10 u 11 dígitos eran lo único que impedía que personas no autorizadas se conectaran a su reunión. Además, eran fácilmente descifrables por los piratas informáticos.

Los usuarios podían protegerse de esta vulnerabilidad asegurándose de que tenían la última versión de Zoom, ya que el software fue actualizado para mitigar este problema.

A finales de marzo y principios de abril de 2020 se descubrieron tres nuevas vulnerabilidades de Zoom. Estas no se consideraron tan graves como las vulnerabilidades anteriores, ya que requerían más trabajo para ejecutarse.

Algunos vectores de ataque de vectores de ataque requerían que los hackers accedieran al ordenador de la víctima, mientras que otro empleaba la ingeniería social para engañar a los usuarios e inducirlos a interactuar con los malhechores. Sin embargo, los usuarios de Zoom afectados por estas vulnerabilidades podrían sufrir robos de datos y abusos. Zoom abordó y parcheó estas vulnerabilidades con relativa rapidez.

3. Vulnerabilidad de seguridad de Zoom Mac (Zoom lo solucionó)

Un investigador de seguridad llamado Patrick Wardle encontró una vulnerabilidad de seguridad crítica en agosto de 2022, que podría permitir a un hacker controlar el Mac de un usuario, modificando los archivos a su antojo. Zoom corrigió el problema rápidamente, por lo que asegurarse de que su software está actualizado le ayudará a evitar este problema.

4. La Agencia de Ciberseguridad de la India identifica 2 vulnerabilidades (Zoom Fixed This)

En septiembre de 2022, el Equipo indio de respuesta ante emergencias informáticas (CERT-In) puso de relieve una serie de vulnerabilidades de seguridad en el software de Zoom. Una de ellas podría supuestamente permitir a un hacker acceder a una reunión de Zoom sin autorización, mientras que la otra podría permitir a un actor malintencionado acceder a archivos de audio y vídeo sin autorización. Zoom tardó alrededor de un mes en lanzar una solución para este fallo.

Por desgracia, estos agujeros de seguridad se atribuyeron directamente al parche de seguridad lanzado en agosto para solucionar el problema de Mac. Ello pone de relieve la necesidad permanente de vigilancia y educación integral en ciberseguridad, ya que los parches a menudo pueden introducir nuevos riesgos de seguridad que antes no estaban presentes en el software.

Zoom Cuestiones de privacidad

Aparte de las vulnerabilidades de seguridad, también debes ser consciente de los posibles fallos de privacidad que podrían exponer tu información sin tu conocimiento. Este tipo de fallos de seguridad pueden ser errores que se descubren ocasionalmente, descuidos en el diseño de un producto o servicio o, simplemente, políticas de privacidad mal redactadas que comparten tus datos de forma excesiva.

Por ello, hemos destacado algunos ejemplos de este tipo de problemas. Ten en cuenta que algunas funciones ya no están disponibles.

1. Zoom sabe si estás prestando atención a la llamada (Zoom eliminó esto)

Cada vez que organizas una llamada, solías tener la opción de activar el seguimiento de la atención de los asistentes de Zoom de Zoom. Esta función avisaba al anfitrión de la llamada cada vez que alguien "no tenga enfocado el cliente de escritorio o la aplicación móvil de Zoom durante más de 30 segundos."

En otras palabras, si estabas en una llamada de Zoom y hacías clic fuera de Zoom, el anfitrión de la llamada habría sido notificado después de 30 segundosindependientemente de si minimizabas Zoom para tomar notas, consultar tu correo electrónico o responder a una pregunta en otra aplicación. Esta función sólo funcionaba si alguien en la llamada estaba compartiendo su pantalla, pero Zoom eliminó la función en 2020 como parte de su "compromiso con la seguridad y la privacidad de los usuarios."

2. Zoom recopila y comparte datos

Según la política de privacidadZoom recopila datos sobre usted, incluidos su nombre, dirección física, dirección de correo electrónico, número de teléfono, puesto de trabajo y empleador. Incluso si no crea una cuenta con Zoom, éste recopilará y conservará datos sobre el tipo de dispositivo que utiliza y su dirección IP. Una dirección IP puede utilizarse para deducir una ubicación geográfica, por lo que se recomienda utilizar Zoom junto con una VPN si estás interesado en una mayor privacidad.

Aunque Zoom afirma que no vende datos personales a terceros, "sí comparte datos personales con terceros para "fines comerciales" de esas empresas. Y eso puede incluir pasar tu información personal a Google. También debes tener en cuenta que si utilizas software de Zoom adquirido bajo licencia de un proveedor de software distinto del propio Zoom, es posible que ese proveedor pueda acceder a tus datos y contenidos personales.

Según la política de privacidad, esto incluye "reuniones, seminarios web y mensajes". No parece haber claridad sobre si esos terceros pueden acceder a información sencilla, como la hora y fecha de una reunión o una grabación completa de vídeo y audio.

3. Zoom da a los anfitriones un poder significativo

Estas capacidades incluyen la posibilidad de grabar reuniones y encargar transcripciones, así como la responsabilidad de mantener a salvo los datos de las reuniones, tanto si están almacenados en un portátil como bajo la contraseña de un anfitrión en la nube de Zoom.

Cómo proteger sus datos

Hay tres formas sencillas de proteger tu privacidad durante las llamadas con Zoom:

1. Utiliza dos dispositivos durante las llamadas de Zoom.

Si estás asistiendo a una llamada de Zoom en tu ordenador, utiliza el teléfono para consultar tu correo electrónico o chatear con otros asistentes a la llamada. De este modo, no activará una alerta de seguimiento de atención.

2. No utilices Facebook para iniciar sesión.

Aunque esto ahorra tiempo, es una mala práctica de seguridad y aumenta drásticamente la cantidad de datos personales a los que puede acceder Zoom.

3. Busque un icono que le indique cuándo una reunión está siendo grabada por el anfitrión.

Si te sientes cómodo haciéndolo, pide a tu anfitrión que active la función que requiere que los participantes den su consentimiento antes de que pueda comenzar la grabación. Si organizas una videoconferencia, te sugerimos que utilices esta función, que está desactivada por defecto.

Zoom Eventos virtuales

Ahora que muchas personas están confinadas en casa, utilizan cada vez más Zoom para organizar eventos virtuales. Zoom ha publicado sus propios consejos y recomendaciones para mantener la seguridad y la privacidad en la gestión de este tipo de eventos, con el fin de evitar intrusos no deseados:

Cuando comparte el enlace de su reunión en las redes sociales u otros foros públicos, eso hace que su evento sea extremadamente extremadamente público. CUALQUIERA que tenga el enlace puede unirse a la reunión.
Evite utilizar su Identificación Personal de Reuniones (PMI) para organizar eventos públicos. Su PMI es básicamente una reunión continua, y no querrá que personas inesperadas se cuelen en su espacio virtual personal cuando la fiesta haya terminado.
Familiarízate con la configuración y las funciones de Zoom para saber cómo proteger tu espacio virtual cuando lo necesites. Por ejemplo, la sala de espera es una función muy útil que permite a los anfitriones controlar quién entra y quién sale.

1. Gestionar la pantalla compartida

La primera regla del Club Zoom: No cedas el control de tu pantalla.

No quieres que personas al azar en tu evento público tomen el control de tu pantalla y compartan contenido no deseado. Puedes restringir la capacidad de compartir pantalla desde la barra de control del anfitrión, tanto antes como durante la reunión.

2. Gestione a sus participantes

Zoom ofrece varias opciones para gestionar a los participantes en las reuniones:

Permitir que sólo los usuarios registrados se unan: Si alguien intenta unirse a tu evento pero no ha iniciado sesión en Zoom con un correo electrónico al que se envió la invitación, recibirá el mensaje "Esta reunión es sólo para asistentes autorizados." Esta opción es útil si quieres controlar tu lista de invitados e invitar sólo a quienes tú quieras a tus eventos, como compañeros u otros estudiantes de tu centro.
Bloquear la reunión: Siempre es inteligente cerrar la puerta con llave, incluso cuando estás dentro de casa. Cuando bloqueas una reunión de Zoom que ya ha empezado, no pueden entrar nuevos participantes, aunque tengan el ID y la contraseña de la reunión (si los has exigido).
Configure su propia autenticación de dos factores: Esta opción le permite generar un ID de reunión aleatorio al programar su evento y exigir una contraseña para participar. A continuación, puede compartir ese ID de reunión en Twitter, pero enviar la contraseña solo a los participantes invitados a través de un mensaje de texto.
Expulsar a los participantes no deseados o molestos: También tiene la opción de eliminar participantes de su reunión.
Poner a los participantes en espera: También puedes poner a todos los demás en espera, y las conexiones de vídeo y audio de los asistentes se desactivarán momentáneamente.

Otras opciones son desactivar el vídeo de un participante, silenciar a los participantes, bloquear la transferencia de archivos a través del chat de la reunión, desactivar la función de chat privado, etc. Para obtener instrucciones más detalladas, consulta los enlaces anteriores, así como los mejores consejos para proteger tu reunión.

3. Prueba en la sala de espera

Una de las mejores maneras de utilizar Zoom para eventos públicos es habilitar la Sala de espera de Zoom. Como su nombre indica, la sala de espera es una zona de espera virtual que impide que tus invitados entren hasta que estés preparado para recibirlos. Es un poco como la cuerda de terciopelo fuera de un club nocturno, con usted como portero controlando cuidadosamente quién puede entrar.

Los anfitriones de las reuniones pueden personalizar los ajustes de la Sala de Espera para un mayor control, e incluso pueden personalizar el mensaje que verán los asistentes al entrar en la sala de espera para que sepan que están en el lugar correcto. La sala de espera es el lugar ideal para publicar las normas y directrices del evento, como sus objetivos y a quién va dirigido.

Este vídeo sobre cómo crear salas de espera proporciona información adicional.

Resumen

Zoom se centra en hacer que algo que antes era complicado, como las videoconferencias, sea extremadamente sencillo para los usuarios. Sin embargo, la tecnología casi siempre implica un compromiso entre comodidad y seguridady es habitual que la misma tecnología que utilizamos para ser más productivos nos ponga en peligro a nosotros y a nuestra información personal.

Ahora ya sabe cómo protegerse mientras utiliza Zoom y cómo evitar las escuchas, el robo de datos, la pérdida de privacidad y el acoso en línea mientras utiliza la herramienta. Si utiliza Zoom en una organización, debe asegurarse de que su personal está sobre los riesgos que pueden suponer para la ciberseguridad a la ciberseguridad por el software y las herramientas que utilizan.

En resumen, los puntos más importantes que hay que recordar sobre ciberseguridad y privacidad en Zoom son los siguientes:

Mantén actualizado tu software Zoom
Desactivar la capacidad de Zoom para encender la cámara web al unirse a una reunión
No utilices Facebook para iniciar sesión
Cuando organices un evento, gestiona la configuración de la reunión y los participantes
Cuando participe en reuniones, desconfíe de si se está grabando la reunión
Lee la política de privacidad y las condiciones del servicio antes de utilizar cualquier programa. Si no estás satisfecho, utiliza una alternativa.
Asegúrese de elegir la mejor formación en ciberseguridad para el personal que necesita mantenerse al día sobre las mejores prácticas

Recuerde que, aunque decida no utilizar Zoom, muchas de estas directrices también se aplican a otras aplicaciones de videoconferencia y a otras herramientas digitales. ¡Manténgase seguro!

Proteja a su organización del phishing

Explorar más recursos

Artículo

Los 9 consejos de ciberseguridad más importantes para sus empleados

Las organizaciones están inundadas de consejos de ciberseguridad, pero ¿cuáles son los más importantes?

Artículo

8 amenazas a la ciberseguridad móvil que deberías tomarte en serio

Entre el 80 y el 90% de las aplicaciones móviles contienen una vulnerabilidad de seguridad. Más información

Artículo