Check Point y Zoom colaboran para solucionar un fallo de seguridad en la opción de personalizar URLs

29 julio, 2020
4 Compartido 912 Visualizaciones

Los cibercriminales podrían haber manipulado las ID de reuniones y lanzado campañas de phishing utilizando el error detectado en “Vanity URL” que permite personalizar URLs de Zoom

 Check Point® Software Technologies Ltd. (NASDAQ: CHKP), proveedor líder especializado en ciberseguridad a nivel mundial, ha ayudado a reducir el riesgo del fallo de seguridad en la opción personalizable de Zoom «Vanity URLs«. Este agujero se seguridad permite a los cibercriminales enviar invitaciones aparentemente inofensivas a diferentes reuniones a través de Zoom con el objetivo de infiltrar malware y robar datos o credenciales de ese usuario.  Anteriormente, en el mes de enero, Check Point Research trabajó con Zoom para corregir una posible vulnerabilidad que permitía a los cibercriminales unirse a una reunión sin estar invitados.  

El uso de Zoom se ha disparado en todo el mundo durante las fases de confinamiento por la Covid-19, pasando de 10 millones de participantes en reuniones diarias en diciembre de 2019 a más de 300 millones en abril de 2020.  Los ciberdelincuentes están aprovechando la popularidad de este servicio como gancho para engañar a los usuarios de Zoom y otras plataformas de videoconferencias.  Según Check Point, los registros de dominios relacionados con Zoom y los programas falsos de instalación de Zoom han experimentado un gran aumento.  

Los investigadores de Check Point habían identificado el fallo de seguridad del «Vanity URL» en enero. Es probable que haya sido esta vulnerabilidad la que haya permitido a los cibercriminales manipular una «Vanity URL» (por ejemplo, https://yourcompany.zoom.us/) de dos formas:

  • Enlaces directos como objetivo: al organizar una reunión, el cibercriminal podría cambiar la URL de la invitación para incluir un sub-dominio registrado de su elección. En otras palabras, si el enlace original era https://zoom.us/j/##########, el atacante podía cambiarlo a https://<nombre de la organización>.zoom.us/j/###########. Sin formación especial en materia de ciberseguridad sobre cómo reconocer la URL apropiada, un usuario que reciba esta invitación puede no llegar a reconocer que no es auténtica o que no procedía de una empresa real.   
  • Dirigido a las interfaces web de Zoom personalizadas: algunas empresas tienen su propia interfaz web de Zoom para las conferencias. Un cibercriminal podría atacar dicha interfaz e intentar redirigir a un usuario para que introduzca un ID de reunión en la URL maliciosa de Vanity, en lugar de la interfaz web de Zoom auténtica.  Al igual que en el caso de los ataques de enlaces directos, sin formación específica en materia de ciberseguridad, es posible que la víctima de esos ataques no pueda reconocer la URL maliciosa y sea víctima del ataque.    

Con cualquiera de los dos métodos, un atacante podría hacerse pasar por empleado de una empresa a través de Zoom, y de esta forma robar credenciales o información sensible.  

«Debido a que Zoom se ha convertido en uno de los principales canales de comunicación del mundo para empresas, gobiernos y consumidores, es fundamental que se impida a los cibercriminales explotar este servicio con fines delictivos. Trabajando conjuntamente con el equipo de seguridad de Zoom, hemos ayudado a proporcionar a los usuarios de todo el mundo una experiencia más segura, sencilla y fiable para que puedan aprovechar al máximo las ventajas del servicio», destacó Robyn Westervelt, director de IDC’s Research, Security & Trust.

Check Point Research y Zoom han trabajado juntos para resolver dichos fallos de seguridad. Zoom ha resuelto el problema y ha puesto en marcha garantías adicionales para la protección de los usuarios. «Este fue un esfuerzo conjunto entre Check Point y Zoom. Juntos, hemos tomado importantes medidas para proteger a los usuarios de Zoom en todas partes», dijo Robyn Westervelt.

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

La final de los VI European Cyber Security Challenge se celebrará en Praga en 2021
Actualidad
5 compartido1,776 visualizaciones
Actualidad
5 compartido1,776 visualizaciones

La final de los VI European Cyber Security Challenge se celebrará en Praga en 2021

Alicia Burrueco - 9 junio, 2020

El equipo español podrá contar con los integrantes seleccionados al ampliarse en un año la edad máxima de participación El…

Un tercio de usuarios de móvil nunca hace copia de seguridad y ya ha perdido contenidos
Mobile
660 visualizaciones
Mobile
660 visualizaciones

Un tercio de usuarios de móvil nunca hace copia de seguridad y ya ha perdido contenidos

José Luis - 31 enero, 2018

Según un estudio de Western Digital, la mitad de los usuarios se ha quedado sin espacio en sus dispositivos en…

DANE como base para la transmisión de datos segura
Soluciones Seguridad
19 compartido2,469 visualizaciones
Soluciones Seguridad
19 compartido2,469 visualizaciones

DANE como base para la transmisión de datos segura

Mónica Gallego - 1 agosto, 2019

DANE con DNSSEC garantiza que su correo electrónico llegue de manera segura y a la persona adecuada. En Alemania hay…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.