Check Point y Zoom colaboran para solucionar un fallo de seguridad en la opción de personalizar URLs

29 julio, 2020
4 Compartido 1,003 Visualizaciones

Los cibercriminales podrían haber manipulado las ID de reuniones y lanzado campañas de phishing utilizando el error detectado en “Vanity URL” que permite personalizar URLs de Zoom

 Check Point® Software Technologies Ltd. (NASDAQ: CHKP), proveedor líder especializado en ciberseguridad a nivel mundial, ha ayudado a reducir el riesgo del fallo de seguridad en la opción personalizable de Zoom «Vanity URLs«. Este agujero se seguridad permite a los cibercriminales enviar invitaciones aparentemente inofensivas a diferentes reuniones a través de Zoom con el objetivo de infiltrar malware y robar datos o credenciales de ese usuario.  Anteriormente, en el mes de enero, Check Point Research trabajó con Zoom para corregir una posible vulnerabilidad que permitía a los cibercriminales unirse a una reunión sin estar invitados.  

El uso de Zoom se ha disparado en todo el mundo durante las fases de confinamiento por la Covid-19, pasando de 10 millones de participantes en reuniones diarias en diciembre de 2019 a más de 300 millones en abril de 2020.  Los ciberdelincuentes están aprovechando la popularidad de este servicio como gancho para engañar a los usuarios de Zoom y otras plataformas de videoconferencias.  Según Check Point, los registros de dominios relacionados con Zoom y los programas falsos de instalación de Zoom han experimentado un gran aumento.  

Los investigadores de Check Point habían identificado el fallo de seguridad del «Vanity URL» en enero. Es probable que haya sido esta vulnerabilidad la que haya permitido a los cibercriminales manipular una «Vanity URL» (por ejemplo, https://yourcompany.zoom.us/) de dos formas:

  • Enlaces directos como objetivo: al organizar una reunión, el cibercriminal podría cambiar la URL de la invitación para incluir un sub-dominio registrado de su elección. En otras palabras, si el enlace original era https://zoom.us/j/##########, el atacante podía cambiarlo a https://<nombre de la organización>.zoom.us/j/###########. Sin formación especial en materia de ciberseguridad sobre cómo reconocer la URL apropiada, un usuario que reciba esta invitación puede no llegar a reconocer que no es auténtica o que no procedía de una empresa real.   
  • Dirigido a las interfaces web de Zoom personalizadas: algunas empresas tienen su propia interfaz web de Zoom para las conferencias. Un cibercriminal podría atacar dicha interfaz e intentar redirigir a un usuario para que introduzca un ID de reunión en la URL maliciosa de Vanity, en lugar de la interfaz web de Zoom auténtica.  Al igual que en el caso de los ataques de enlaces directos, sin formación específica en materia de ciberseguridad, es posible que la víctima de esos ataques no pueda reconocer la URL maliciosa y sea víctima del ataque.    

Con cualquiera de los dos métodos, un atacante podría hacerse pasar por empleado de una empresa a través de Zoom, y de esta forma robar credenciales o información sensible.  

«Debido a que Zoom se ha convertido en uno de los principales canales de comunicación del mundo para empresas, gobiernos y consumidores, es fundamental que se impida a los cibercriminales explotar este servicio con fines delictivos. Trabajando conjuntamente con el equipo de seguridad de Zoom, hemos ayudado a proporcionar a los usuarios de todo el mundo una experiencia más segura, sencilla y fiable para que puedan aprovechar al máximo las ventajas del servicio», destacó Robyn Westervelt, director de IDC’s Research, Security & Trust.

Check Point Research y Zoom han trabajado juntos para resolver dichos fallos de seguridad. Zoom ha resuelto el problema y ha puesto en marcha garantías adicionales para la protección de los usuarios. «Este fue un esfuerzo conjunto entre Check Point y Zoom. Juntos, hemos tomado importantes medidas para proteger a los usuarios de Zoom en todas partes», dijo Robyn Westervelt.

Mantente informado de las noticias más relevantes en nuestro canal de Telegram

Te podría interesar

Orange lanza Flexible Engine, su entorno de nube pública seguro, rápido y flexible para las grandes empresas
Actualidad
5 compartido754 visualizaciones
Actualidad
5 compartido754 visualizaciones

Orange lanza Flexible Engine, su entorno de nube pública seguro, rápido y flexible para las grandes empresas

Alicia Burrueco - 26 septiembre, 2019

En un contexto empresarial tan conectado y globalizado como el actual, cada vez son más las compañías que evolucionan hacia…

Capital Cell abre ronda de inversión con más del 100% del capital ya conseguido
Actualidad
12 compartido1,413 visualizaciones
Actualidad
12 compartido1,413 visualizaciones

Capital Cell abre ronda de inversión con más del 100% del capital ya conseguido

Vicente Ramírez - 14 mayo, 2018

Capital Cell busca 700.000 euros de financiación para crear el primer marketplace de ICOs en salud mediante Blockchain. Capital Cell,…

Los bancos, en jaque por el COVID-19: ¿cómo pueden garantizar la ciberseguridad?
Actualidad
7 compartido1,276 visualizaciones
Actualidad
7 compartido1,276 visualizaciones

Los bancos, en jaque por el COVID-19: ¿cómo pueden garantizar la ciberseguridad?

Alicia Burrueco - 29 mayo, 2020

Con el auge de los ciberataques que aprovechan la pandemia, el sector financiero necesita más que nunca proteger su infraestructura…

Deje un comentario

Su email no será publicado

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.