In questo articolo Indice dei contenuti 3 sezioni
Una vulnerabilità critica in Zoom ha permesso, per un certo periodo, di prendere il controllo di un dispositivo semplicemente durante una videochiamata con la condivisione dello schermo attiva. Nessun clic, nessun file da scaricare, nessun avviso sospetto a comparire sullo schermo. Bastava essere collegati alla stessa riunione dell’aggressore, e il gioco era fatto. La falla è stata individuata dalla società di sicurezza A Security e toccava tutti i sistemi operativi supportati dalla piattaforma, quindi Windows, macOS, Linux, iOS e Android. Nessuna eccezione, nessuna piattaforma più protetta delle altre.
In gergo tecnico si parla di esecuzione di codice da remoto, che è più o meno il peggio che possa capitare a un software installato su milioni di computer. Significa che qualcuno, stando altrove, può far girare istruzioni sulla macchina di un’altra persona come se ci fosse seduto davanti. Nel caso specifico il bersaglio potevano essere sia i partecipanti alla chiamata sia chi la ospitava, e tutto avveniva in silenzio, senza segnali visibili.
La patch è già disponibile e conviene installarla subito
Zoom è stata avvisata e ha rilasciato una patch correttiva. Chi non aggiorna l’applicazione da un po’ farebbe bene a controllare adesso, perché una falla di questo tipo, una volta resa pubblica, diventa terreno di caccia anche per chi non l’ha scoperta. L’aggiornamento è la parte semplice della storia, quella che si risolve in due minuti dalle impostazioni dell’app.
Il punto davvero interessante, però, sta altrove. La vulnerabilità è stata trovata a inizio giugno usando modelli di intelligenza artificiale disponibili pubblicamente, quelli che chiunque può aprire dal browser. E soprattutto con meno di venti richieste. Il cofondatore di A Security, Omer Gull, ha raccontato la cosa in termini che non lasciano molto spazio all’interpretazione: prima sarebbero servite cinque persone e forse sei mesi di lavoro per arrivare allo stesso risultato, ora bastano meno di 20 prompt.
Quando l’AI abbassa la soglia d’ingresso alla ricerca di falle
Qui non si tratta di demonizzare la tecnologia. Il problema è un altro e riguarda le proporzioni. L’intelligenza artificiale sta abbassando drasticamente il livello di competenza necessario per scovare bug gravi in software usati ogni giorno da milioni di persone. Quello che richiedeva mesi di lavoro specializzato, con team dedicati e budget consistenti, oggi si può fare in poche ore con gli strumenti giusti. Ed è una lama a doppio taglio, perché la stessa velocità che aiuta i ricercatori a trovare le crepe prima dei malintenzionati vale anche nella direzione opposta.
C’è un dettaglio che merita una menzione, quasi una nota a margine ma non del tutto innocente. Il ricercatore ha raccontato tutta la vicenda in videochiamata. Su Microsoft Teams. Una scelta che, viste le circostanze, difficilmente può essere considerata casuale.
La fiducia nelle app quotidiane e i suoi limiti
Le piattaforme di videoconferenza appartengono a quella categoria di strumenti che si aprono senza pensarci, come si apre il rubinetto dell’acqua. Sono entrate nella routine lavorativa e domestica al punto che la domanda sulla loro sicurezza non se la pone quasi nessuno, e in fondo è comprensibile. Un servizio usato da aziende, scuole, ospedali e pubbliche amministrazioni dovrebbe essere blindato per definizione.
Poi arriva un caso come questo e ricorda che la sicurezza digitale non si esaurisce nelle reti Wi Fi pubbliche o nelle password troppo corte. Passa anche dalle applicazioni più familiari, quelle installate su ogni dispositivo, quelle di cui non si sospetta niente. E passa dal fatto che gli strumenti per trovare i loro punti deboli sono diventati accessibili in modo che fino a poco tempo fa sarebbe sembrato irrealistico. Per il momento la falla su Zoom è chiusa, l’aggiornamento è distribuito su tutte le piattaforme e la finestra di rischio si riduce a chi resta indietro con le versioni dell’app.
