La empresa especializada de S21Sec ha desarrollado una herramienta capaz de identificar salas de videoconferencia expuestas
Éstas comprenden reuniones del sector tecnológico, educativo y sanitario, además de actividades lúdicas o personales
Como parte de los esfuerzos de S21sec en ofrecer soluciones de ciberseguridad en el marco actual de alarma por el COVID-19, la firma ha detectado riesgos del uso creciente de salas de videoconferencia en proveedores “Cloud Video as a Service”. Cuando son configuradas incorrectamente, cualquier persona externa tiene acceso a ellas.
Las medidas de prevención por el coronavirus han llevado a un aumento exponencial del uso de herramientas colaborativas de teletrabajo que, frecuentemente, son empleadas de manera improvisada por empresas y usuarios que no disponen de formación previa en ciberseguridad.
Es en este contexto en el que, al hacer uso de algunas soluciones de videoconferencia, virtual meeting room o webinar, tanto los datos corporativos como personales de los usuarios pueden verse accidentalmente expuestos o, incluso peor, explotados por ciberatacantes maliciosos.
Más de un centenar de salas expuestas en Jitsi
Un ejemplo sería el software Jitsi y su servicio gratuito Meet.jit.si. Aunque Jitsi alberga opciones de seguridad avanzadas, una incorrecta configuración de sus salas de videoconferencia puede desencadenar que se vean expuestas.
Con el objetivo de ilustrar la magnitud del problema, S21sec ha desarrollado una herramienta capaz de identificar salas expuestas en Meet.jit.si en unas pocas líneas de código. Para ello, han introducido el nombre de las empresas de mayor facturación en España, los términos habituales del teletrabajo y los nombres de algunas ciudades españolas, entre otros. En uno de los muestreos posteriores al decreto del estado de alarma, la compañía de ciberseguridad logró registrar más de un centenar de videoconferencias expuestas.
El departamento de auditoría de la firma ha identificado que las videoconferencias expuestas comprenden reuniones del sector tecnológico, educativo y sanitario, principalmente, además de actividades lúdicas o personales trasladadas a conferencias virtuales. Un atacante persistente podría usar un diccionario con términos dirigidos a una empresa o sector concreto y configurar su herramienta de tal modo que le alertara cuando se inicia una reunión, o bien guardarla en un archivo de vídeo para su posterior análisis.
Es fundamental tener en cuenta que cuando se realizan videoconferencias es muy fácil mostrar accidentalmente información de tipo interno como URLs, tokens, nombres de usuario u otras configuraciones que pueden ser explotadas por un intruso para desplegar ataques posteriores. El departamento de auditoría de S21sec también ha identificado Jitsi empleados por entidades y sectores críticos, incluso gobiernos de diferentes países. Por ejemplo, ha detectado múltiples Jitsi expuestos bajo nombres del tipo “gov.[TLD]”, procedentes de entidades gubernamentales.
“Aunque resultaría obvio pensar que los miembros de una sala virtual se darían cuenta de que alguien ajeno se ha unido a la llamada, estas reuniones a menudo son muy concurridas, por lo que un miembro más no sería motivo de alarma. Incluso en los casos en los que se detecta, hemos comprobado que los integrantes asumen que se trata de un compañero que tiene algún problema de configuración”, afirma Igor Unanue, Director Técnico de la de la firma. A esta situación contribuye, además, que los usuarios en Jitsi reciben por defecto el alias “Fellow Jitster”, siendo normal encontrar en una sala usuarios que todavía no han actualizado su nombre y no tienen activa su webcam.
Además, en el ámbito de los servicios de ciberinteligencia que presta la firma, en las últimas monitorizaciones realizadas desde el área de Inteligencia de S21sec, se ha detectado la inminente creación de sitios web fraudulentos con aplicaciones Zoom que instalan malware. Debido a la coyuntura del teletrabajo del COVID-19, algunos hackers están aprovechando y creando webs fraudulentas de descarga de la aplicación para videoconferencias en la que insertan código malicioso.
Cómo protegerse
“En caso de necesitar un control total de la seguridad lo ideal es utilizar herramientas ‘on-premise’ o, en otras palabras, instaladas en los servidores de la propia compañía. El uso de soluciones propias evita riesgos derivados de terceros y permite un mayor control por parte del personal de sistemas”, concluye así el experto de S21sec. En el caso de soluciones externas como Microsoft Teams o G-Suite Hangouts Meet, la compañía de ciberseguridad recomienda evitar la exposición accidental de información que pueda proporcionar a terceros enlaces de acceso identificables mediante Google Dorks, así como hacer uso de las configuraciones de seguridad que nos proporciona cada una de las arquitecturas.
