【要注意】Zoomアプリの脆弱性が発覚――ハッカーがビジネス会議を乗っ取る危険性

仕事でのビデオ会議といえば、通常は何も起こらないものです。一方が発表し、多くの参加者が耳を傾け(あるいはささやかな冗談に笑い)、時折どなたかの回線で音声が途切れる程度でしょう。しかし、オンラインビジネス会議中に絶対に起こってほしくない「別の種類の騒動」があります。それが、Zoomのバグによる会議の乗っ取りです。

こんな状況を想像してみてください。Zoom会議の最中に、不正な第三者(ここではハッカーと呼びましょう)があなたの画面を勝手に操作し始め、他の参加者に対して不適切なメッセージを送信する――。これは最近、Zoomのデスクトップアプリに新たな脆弱性が見つかったことで、現実に起こり得た問題でした。

幸いなことに、Zoomはすでにこの深刻なビデオ会議バグの修正を完了しています。

Zoomバグの詳細

この問題を発見したのは、サイバーセキュリティ企業Tenableの研究者であるDavid Wells氏です。同氏によれば、この脆弱性を悪用すると、攻撃者がユーザーの画面を制御し、そのユーザーになりすましてチャットメッセージを送信できるだけでなく、参加者をビデオ会議から強制的に退出させることさえ可能だったとのことです。

問題の背景にあったのはUDPパケットで、これはIoT(モノのインターネット)デバイスを狙った攻撃でおなじみの手口です。このZoomバグでは、Windows版・Mac版・Linux版のアプリが受信したコマンドが、すべて正当なものとしてそのまま処理されてしまいました。つまり攻撃者は、細工したコードを送信するだけで、プライベートな通話への侵入から他の参加者の強制排除まで、何でも自由に行えたのです。

Tenableのブログでは次のように説明されています。「これにより、攻撃者はUDPパケットを作成・送信することが可能となり、それらは正規のZoomサーバーが使用する信頼済みTCPチャネルから処理されたメッセージとして解釈されてしまう」

この脆弱性により、攻撃者や悪意ある参加者が実行できたことは以下の通りです。

• 画面操作の乗っ取り:権限設定をバイパスし、キーボード入力やマウス操作を送信することで、デスクトップを完全に掌握できました。
• チャットメッセージのなりすまし:通話中の正規ユーザーになりすましてメッセージを送信できました。
• 参加者の強制退出:ホストの許可がなくても、参加者を通話から追い出せました。

ブログ記事によると、この欠陥はメッセージ検証の不備に起因するものでした。悪意ある攻撃者は、ZoomサーバーのIPアドレスを知っているだけで、この脆弱性を悪用できたのです。

この「Zoom Client for Meetings メッセージなりすまし脆弱性」には、公式にCVE-2018-15715というコードが割り当てられており、以下のバージョンが影響を受けました。

• Windows 10/11、Zoom 4.1.33259.0925
• macOS 10.13、Zoom 4.1.33259.0925
• Ubuntu 14.04、Zoom 2.4.129780.0915

Zoomの迅速な対応

約75万社がサービスを利用するZoomは、Wells氏からの報告を受けて直ちに行動しました。サーバー側にパッチを適用し、潜在的な攻撃からユーザーを保護したのです。

さらに、Windows版・Mac版・Linux版アプリのアップデートもリリースし、問題の完全な修正を図りました。最新バージョンは、Windows向けが4.1.34814.1119、macOS向けが4.1.34801.1116です。ただし、通話中に乗っ取られる被害を防ぐためには、ユーザー自身が手動でアップデートを行う必要がある点に注意してください。

Zoomは、サイト・ソフトウェア・アプリへのサインイン時には暗号化によって情報を保護すると表明しています。しかし、より安全なZoom体験のために、以下の追加対策も実践しましょう。

1. パスワードを平文で保存しない:平文保存は、マルウェアにファイルへのアクセスを許すきっかけになります。
2. 機密性の高い話題を扱う際はルームパスワードを設定する:望まない「不速の客」の参加を防げます。特に、元勤務先などが存在を知っている可能性のある常設会議室では、この保護層が非常に有効です。
3. 「ホストより先に参加」機能を見直す:自分が入室する前に誰も会議室に入れないようにしたい場合は、この機能を無効にしましょう。
4. Zoomの録画データを適切に管理する:クラウドに保存している場合、第三者がサービスに侵入して録画にアクセスするリスクがあります。外部ストレージ業者に頼るよりも、自身のシステム上でファイルを暗号化し、好みの方法で保管する方が安全かもしれません。
5. PCを常にクリーンで最適な状態に保つ:信頼できるサードパーティ製のPC修復ツールを使えば、Windowsシステムの診断、ジャンクファイルの一括削除、速度や安定性に影響する重要な問題の特定が可能です。

まとめ

今回発見・公表されたZoomアプリの脆弱性は、会議の妨害、画面操作の乗っ取り、チャットメッセージのなりすまし、参加者の強制退出などを通じて、ビジネス会議を危険にさらすものでした。

Zoomは、サーバーへのパッチ適用とWindows・Mac・Linux各アプリのアップデート配信によって、迅速にこの問題へ対処しました。

あなたは今回のZoomバグの影響を受けましたか?ぜひ、あなたの体験を教えてください。