A Zoom solucionou nesta terça-feira (11) uma vulnerabilidade crítica que permitia a invasão silenciosa de celulares e computadores. Identificada pela empresa de cibersegurança A Security, a falha exigia apenas que a vítima estivesse em uma chamada de vídeo com o recurso de compartilhamento de tela ativado.

O caso acende um alerta pela facilidade da descoberta. Os pesquisadores utilizaram modelos públicos de inteligência artificial para explorar a falha do zero usando menos de 20 comandos de texto (os chamados prompts).

Como funcionava o ataque silencioso?

O problema estava escondido no protocolo que gerencia anotações em tempo real (aquele recurso que permite desenhar e fazer marcações na tela). Uma brecha abriu as portas para a execução remota de código.

Segundo os relatórios técnicos da A Security, um invasor presente na reunião, seja anfitrião ou convidado, podia injetar códigos maliciosos nos dispositivos de todos os outros participantes da sala. O grande perigo desse ataque, batizado de “Zoomsday”, é que ele operava no formato zero-click, ou seja, não exigia qualquer interação da vítima.

Ninguém precisava clicar em um link suspeito no chat, baixar um arquivo malicioso ou aceitar uma solicitação na tela. Com o controle do sistema, o cibercriminoso ganhava passe livre para roubar dados sensíveis, ligar a webcam e o microfone ou instalar malwares.

No ambiente corporativo, as consequências seriam desastrosas. Um hacker poderia roubar credenciais de um funcionário para entrar na rede da companhia, comprometendo servidores a partir de uma única videochamada.

Como a IA descobriu a falha?

O que mais assustou os especialistas foi a velocidade com que a IA encontrou e conseguiu explorar a brecha. A empresa de cibersegurança explicou que bastou um dia de trabalho. Eles direcionaram um agente de IA para vasculhar funções muitas vezes ignoradas no código do Zoom. Rapidamente, ele encontrou o erro e montou a invasão em tempo recorde.

Quais sistemas foram afetados e como se proteger?

A vulnerabilidade afetou o aplicativo do Zoom em todos os sistemas suportados: Windows, macOS, Linux, Android e iOS (iPhone). Como entrar em uma videoconferência envolve desde reuniões de trabalho a aulas online, milhões de usuários poderiam ter aparelhos expostos caso os detalhes da falha vazassem.

Felizmente, a brecha foi reportada de forma responsável aos desenvolvedores. A dona do serviço publicou um boletim de segurança detalhado, já implementou as correções necessárias nos servidores e liberou atualizações para os aplicativos.

Apesar de não haver registros de que o “Zoomsday” tenha sido explorado de forma maliciosa na internet, a recomendação unânime é atualizar o aplicativo imediatamente.

IA descobre falha no Zoom que permitia invadir PCs e celulares