Questo è un articolo su più pagine: ti invitiamo a leggere la pagina iniziale
Zoom, videoconferenze troppo facili da attaccare, utenti imprudenti

Era iniziata bene per Zoom questa pandemia: gli utenti si erano moltiplicati velocemente e un’applicazione prima relativamente sconosciuta d’improvviso è diventata popolarissima, grazie anche all’adozione da parte di scuole e istituzioni.

Poi sono arrivati i guai: problemi di privacy, falle di sicurezza e la strana abitudine di far transitare attraverso la Cina anche le conversazioni che avvenivano all’estero hanno rapidamente appannato l’immagine del servizio, che ha mostrato qualche debolezza di troppo.

A questo scenario si aggiunge ora un nuovo problema per gli utenti di Zoom: le credenziali usate da 500.000 di loro sono in vendita nel dark web, e a prezzi stracciati.

La lista di credenziali è stata compilata dai suoi creatori sfruttando i dati sottratti in passato dai vari attacchi che si sono verificati e provando a utilizzare le diverse combinazioni di nome utente e password per accedere a Zoom: quando una combinazione si dimostra funzionante, essa viene aggiunta all’elenco.

Il prezzo per ogni account è irrisorio: appena un centesimo di dollaro o anche meno, generalmente, ma in alcuni casi le credenziali sottratte sono addirittura gratuite.

Gli elenchi sono messi in vendita sotto forma di file di testo; i potenziali acquirenti possono scegliere se acquistare centinaia di migliaia di account o soltanto piccoli pacchetti, da impiegare poi a proprio piacimento.

Le credenziali di un dato utente sono spesso la chiave per accedere anche a molti altri servizi (dato che nomi utente e password spesso vengono riutilizzati), ma una pratica che si va diffondendo in questo periodo e per la quale esse sono particolarmente utili è il cosiddetto zoom-bombing.

Si tratta di inserirsi in una riunione online tenuta attraverso Zoom allo scopo di disturbarla fino a impedirne la prosecuzione, oppure per registrarla violando la privacy dei partecipanti.

Il Dipartimento di Giustizia americano ha fatto sapere che per tale comportamento si può rischiare la prigione, ed ecco quindi che chi desidera indulgervi trova sicuramente comode le credenziali rubate.

Per scoprire se i propri dati siano stati sottratti, gli utenti possono rivolgersi a servizi fidati come Have I Been Pwned?: inserendo il proprio indirizzo email si viene informati sull’eventuale sua presenza tra le informazioni rubate in un attacco informatico.

In ogni caso è sempre valido il consiglio che prevede di non utilizzare mai più di una volta una data combinazione di nome utente e password, per evitare che chi dovesse entrarne in possesso riesca ad accedere all’intera vita online della sua vittima.