Le Zoombombing, le fait de s'introduire dans les runions publiques de Zoom sans y tre invit, est un crime, pas une farce, avertissent les autorits US

Zoom a trs vite atteint la barre des 200 millions dutilisateurs par jour pendant les trois derniers mois o la pandmie du Covid-19 force une bonne partie des travailleurs exercer en tltravail. Toutefois, ce boom a aussi contribu exposer au grand jour un nombre considrable de failles de scurit dont souffre Zoom. Lune dentre elles, connue sous le nom de Zoombombing, permet aux attaquants de sintroduire dans les appels vido dautres utilisateurs sans y tre invits. Pour lutter contre cela, ltat du Michigan a annonc quil considre dsormais cela comme un crime.

Le Zoombombing, qu’est-ce que c’est ?

Selon certains analystes, Zoom est actuellement l’application Apple et Android la plus populaire au monde, et son cours a plus que doubl depuis fin janvier, une hausse particulirement impressionnante si l’on tient compte du krach boursier qui s’est galement produit pendant cette priode. Mais lune des menaces qui pourraient le faire totalement plonger est le Zoombombing. Do vient cette faille et comment les pirates lexploitent-ils ? Cette faille aurait t dcouverte au mme moment que celle qui avait frapp le client Mac de lapplication en janvier dernier.

Cette vulnrabilit pouvait pousser les utilisateurs de Mac qui ont (ou ont dj eu) Zoom install sur leur appareil se joindre des runions Zoom avec leurs camras automatiquement actives. Au cours du mois de janvier, la socit de cyberscurit Check Point a montr quun pirate peut gnrer facilement des numros d’identification de runion actifs, qu’il peut ensuite utiliser pour se joindre aux runions si celles-ci n’taient pas protges par un mot de passe. Zoom a apport un certain nombre de modifications pour rsoudre le problme avec les Mac.

Cependant, la recommandation de Check Point qui demande que les runions soient protges par un mot de passe na pas t prise en compte par Zoom. Rsultat, le Zoombombing a vu le jour et les appels vidos peuvent rapidement tre transforms en sance de visionnage de vidos peu recommandables. Selon les informations sur le Zoombombing, les runions publiques de Zoom sont rejointes par un troll qui diffuse des choses comme du porno et des images nazies au reste des participants. La seule faon darrter la diffusion est de couper lappel.

Il existe des moyens d’attnuer ce problme, comme la protection des runions par un mot de passe ou la limitation du partage d’cran l’hte de la runion. Mais le fait qu’il soit si facile pour quiconque de se joindre une runion publique de Zoom et de la perturber ensuite indique que les dveloppeurs de lapplication n’avaient pas prvu que les runions pouvaient tre perturbes ce point. Cest une chose que toute personne ayant dj utilis Internet aurait d prvoir. Plusieurs procureurs ont saisi Zoom pour savoir comment la socit compte arranger la situation.

Le Zoombombing dsormais considr comme un crime dans certains tats aux USA

Dans lheure, dautres tats ont commenc par prendre des mesures pour lutter contre le Zoombombing en attendant que Zoom fasse un effort pour scuriser au mieux son application. Le Zoombombing est dsormais considr comme un crime dans ces tats. Vendredi pass, les procureurs fdraux du Michigan ont averti le public travers une dclaration que le Zoombombing n’est pas une plaisanterie bnigne, mais bien videmment un crime. Les autorits tatiques ont mentionn que la dcision dcoule dune investigation mene par le FBI pendant la semaine coul.

Les pirates informatiques perturbent les confrences et les salles de classe en ligne avec des images pornographiques et/ou haineuses et un langage menaant , a dclar le bureau du procureur amricain pour le district Est du Michigan. Toute personne qui pirate une tlconfrence peut tre accuse de dlits d’tat ou fdraux , a ajout le bureau. en croire la note des procureurs, la sanction qui frappera un attaquant qui utilise le Zoombombing sera proportionnelle la faon dont il sest introduit dans la runion et ce quil a fait pour la perturber.

Il faut savoir quil y a des runions Zoom dites publiques, ce qui peut rendre difficile l’inculpation d’intrusion informatique. Mais, une personne pourrait quand mme tre poursuivie pour des choses qu’elle a dites ou faites pour perturber la runion aprs l’avoir rejointe. Par ailleurs, il est possible de protger les runions grce un mot de passe. Cependant, il est totalement dconseill d’annoncer les informations de connexion sur les mdias sociaux ou d’autres canaux publics. La sanction dune intrusion dans une vidoconfrence prive peut tre trs svre.

Vous trouvez que le Zoombombing est drle ? Voyons quel point c’est drle aprs votre arrestation , a dclar Matthew Schneider, avocat amricain du Michigan, dans la note du vendredi. Si vous interfrez avec une tlconfrence ou une runion publique dans le Michigan, les forces de l’ordre fdrales, tatiques ou locales pourraient frapper votre porte , a-t-il ajout. Les autorits fdrales ont partag dans la note quelques mesures pouvant tre prises pour attnuer les impacts des menaces lies aux tlconfrences :

• ne pas rendre les runions ou les cours publics. Dans Zoom, il existe deux options pour rendre une runion prive. Exiger un mot de passe pour la runion ou utiliser la fonction de salle d’attente et contrler l’admission des invits ;
• ne pas partager un lien menant vers une tlconfrence ou une salle de classe dans un poste de mdia social accessible au public sans restriction. Fournissez directement le lien aux personnes qui sont concernes par la runion ou par la classe ;
• ne pas grer les options de partage d’cran dans Zoom, changez le partage d’cran en Hte seulement ;
• s’assurer que les utilisateurs utilisent la version mise jour des applications d’accs/runion distance. En janvier 2020, Zoom a mis jour son logiciel. Dans cette mise jour de scurit, Zoom a ajout des mots de passe par dfaut pour les runions et a dsactiv la possibilit de rechercher alatoirement les runions auxquelles on souhaite participer ;
• enfin, assurez-vous que la politique ou le guide de votre organisation en matire de tltravail rpond aux exigences de scurit physique et de scurit de l’information.

Source : La note des procureurs

Et vous ?

Quel est votre avis sur le sujet ?
Partagez-vous le mme point de vue que les procureurs ou pas ? Pourquoi ?

Voir aussi

Zoom annonce un gel des fonctionnalits pendant 90 jours pour rsoudre les problmes de confidentialit et de scurit, alors que l’application a atteint 200 millions d’utilisateurs quotidiens

Les runions sur Zoom ne supportent pas le chiffrement de bout en bout. Zoom a donc la capacit technique d’espionner les runions vido prives

Un ancien hacker de la NSA dcouvre une faille dans Zoom permettant de prendre le contrle des Mac, notamment la webcam, le micro et l’accs root. Elon Musk interdit ses employs de l’utiliser

Zoom divulguerait les adresses mail et photos des utilisateurs et permettrait aussi certains utilisateurs de lancer un appel vido avec des inconnus