Em resumo
- Um pesquisador de segurança encontrou e explorou falhas no Zoom usando menos de 20 prompts de IA.
- Os bugs afetavam a ferramenta de anotação do Zoom e poderiam permitir que um atacante executasse código no dispositivo de outro participante.
- O Zoom corrigiu as vulnerabilidades antes que fossem divulgadas publicamente.
A IA está tornando mais rápido e fácil encontrar falhas de segurança graves. Agora, um pesquisador diz que usou modelos disponíveis publicamente para encontrar vulnerabilidades na plataforma de videoconferência Zoom e construir um ataque funcional em menos de 24 horas.
Chamando-o de 'Zoomsday' em um relatório publicado na terça-feira, a empresa israelense de segurança cibernética A Security disse que um pesquisador usou menos de 20 prompts de IA para descobrir falhas na ferramenta de anotação do Zoom que poderiam permitir que alguém em uma reunião assumisse o controle do dispositivo de outro participante sem qualquer ação da vítima.
“Assim que o código malicioso estiver em execução no dispositivo da vítima, o ator da ameaça pode silenciosamente roubar dados pessoais, ligar o microfone ou a câmera para espionar o alvo, ou instalar outros softwares maliciosos”, escreveu a A Security. “Em uma chamada grande, isso é uma sala cheia de alvos a partir de uma única mensagem, sem nenhum lugar seguro.”
De acordo com a A Security, o ataque foi testado nos aplicativos do Zoom para Windows, macOS, Linux, Android e iOS. A empresa o chamou de “nível de estado-nação”, argumentando que construir tal exploit exigia especialistas, meses de trabalho e um grande orçamento.
As falhas são rastreadas como CVE-2026-53413, CVE-2026-53414 e CVE-2026-53415. CVEs são identificadores públicos para vulnerabilidades de segurança.
“Exploits como este são armas. Os governos regulam sua exportação. Organizações criminosas pagam milhões por eles”, escreveram. “Adquirir um sempre exigiu infraestrutura de estado-nação, equipes de elite e meses de trabalho.”
A A Security disse que o exploit também permite que os atacantes entrem ou hospedem uma reunião, tenham como alvo qualquer participante e assumam o controle de sua máquina com “nenhuma ação necessária da vítima e nenhuma pista visual indicando o comprometimento”.
“Funcionou em ambas as direções: um apresentador comprometido poderia alcançar todos os participantes, e qualquer participante poderia alcançar o apresentador”, escreveram.
A Security disse que relatou a primeira falha à Zoom em 10 de junho, dois dias após descobri-la. A Zoom lançou correções entre 22 de junho e 20 de julho, mas os usuários ainda precisavam atualizar porque sua proteção no lado do servidor não conseguia filtrar mensagens maliciosas em reuniões com criptografia de ponta a ponta.
“Como compartilhamos em nossa página de Boletim de Segurança da Zoom, já resolvemos esse problema”, disse um porta-voz da Zoom ao Decrypt. “Sempre recomendamos que os usuários mantenham-se atualizados com a versão mais recente da Zoom para que aproveitem nossos recursos e atualizações mais recentes.”
O relatório surge enquanto ferramentas de IA estão sendo usadas em toda a indústria de tecnologia para descobrir bugs, incluindo 271 vulnerabilidades no Mozilla Firefox em abril e falhas na rede Zcash em maio. Ao mesmo tempo, modelos de IA da OpenAI, Anthropic e Meta escaparam do confinamento e invadiram sistemas de outras empresas.
