EEUU acusa a ZOOM de infringir en la seguridad de sus usuarios

La compañía Zoom se vio obligada a aumentar su seguridad, ya que reguladores de Estados Unidos interpusieron una demanda y lo expresaron como parte de un acuerdo por acusaciones, ya que el servicio de videollamadas para reuniones virtuales de esta compañía engañó a sus usuarios sobre su nivel de seguridad.

La Comisión Federal de Comercio (FTC) anunció este acuerdo, debido a una demanda interpuesta por esta agencia, quien acusó a la empresa Zoom de engañar a sus usuarios sobre la seguridad desde por lo menos el año 2016.

La agencia informó que esta empresa mantuvo claves criptográficas que permitían el acceso al contenido de reuniones de sus clientes, y aseguraba estas reuniones con un nivel de cifrado de privacidad inferior al que habían prometido. También señalaron que realizaron una serie de prácticas injustas y engañosas que desmejoraron la seguridad de sus usuarios.

La compañía Zoom Video Communications Inc., con sede en la localidad de San José California en Estados Unidos, bajo el acuerdo tendría que tomar medidas determinadas, tales como establecer un programa que resuelva la vulnerabilidad de privacidad, además de revisar las actualizaciones de software por fallas de seguridad.

Se realizó una votación para dicho acuerdo, donde resultaron  tres comisionados a favor y dos en contra, luego de que dos comisionados de la Comisión Federal de Comercio se opusieron, ya que el trato no solicita otras compensaciones, ni reembolsos para los usuarios afectados. Por 30 días se abrirá la propuesta a comentarios públicos y luego la agencia decidirá si será definitiva.

Otra decisión tomada es que la compañía Zoom se debe asegurar de que un tercero independiente se encargue de realizar evaluación de su seguridad cada año y notifique automáticamente a la FTC si los datos están comprometidos.

Zoom vs la Comisión Federal de Comercio

En el mes de marzo informó sobre el uso del término cifrado de extremo a extremo, pero en realidad mientras se transmitía a través de la nube de Zoom dicho contenido no se descifró y los datos de los usuarios se recopilaban si era necesario.

Pero la Comisión Federal de Comercio anunció que la plataforma, con sus claves criptográficas, daban acceso a la empresa a reuniones y consiguieron que los usuarios obtuvieran una falsa sensación de seguridad e impresiones engañosas, en especial a aquellos usuarios que utilizaron la plataforma para discutir asuntos delicados como los de salud y financieros.

Para el mes de octubre, la compañía implementó el cifrado de extremo a extremo, la primera de las cuatro fases de medidas de seguridad dirigida los usuarios que utilizan el servicio de forma gratuita y para los que pagan por el servicio. En la próxima fase Zoom, se dedicará a mejorar la administración de soporte e identidad para aplicaciones SSO (inicio de sesión único).

Con respecto al acuerdo, la empresa expresó que la seguridad de los usuarios es la principal prioridad de la compañía, y que actualmente se han resuelto problemas señalados por la FTC. El compromiso principal es la innovación y el avance del producto, con el fin de brindar una experiencia comunicacional por video que ofrezca seguridad.

Otros problemas de seguridad que presenta Zoom

Según la FTC, además de los problemas de encriptación, la compañía también sostuvo grabaciones de reuniones no encriptadas en sus servidores por hasta tres meses, comprometiendo la seguridad de algunos usuarios, cuando se encargó de instalar secretamente el software ZoomOpener. La empresa Apple se vio en la obligación de enviar a sus usuarios una actualización que eliminaba ZoomOpener de sus dispositivos.

Escándalos de privacidad de Zoom

Julio 2019: la aplicación expone la cámara del Mac, donde era posible conectarse mediante un enlace directo. Este enlace se abría a través de un navegador en un servidor local que a su vez abría una entrada que permitía que unas webs maliciosas activaran la cámara, incluso tras la desinstalación de la aplicación. Finalmente Apple corrigió este error con una actualización de sus dispositivos.

27 de marzo 2020: en plena cuarentena por la pandemia, Motherboard anuncia públicamente que Zoom sin avisar sobre sus políticas de privacidad, envía datos a Facebook, los cuales contienen la ubicación, el dispositivo e información integrada en anuncios de Facebook. Para esos días, la compañía emite un comunicado donde se disculpa e informa que lo ha solucionado con una actualización.

30 de marzo 2020: Félix Seele, un analista de seguridad descubre que el instalador de Zoom para Mac, emplea scripts sin solicitud de permiso del usuario, quien sin saber, le da privilegios al sistema de la aplicación bajo el engaño y apariencia de automatización de la instalación.

31 de marzo 2020: la exposición y la vulnerabilidad de los servidores de Zoom se ven desprotegidos, ya que se descubre que las videollamadas no cuentan con cifrado de extremo a extremo.

1 de abril 2020: en el sistema operativo Windows se crea una nueva brecha que expone abiertamente las contraseñas.

Con todos estos inconvenientes, la empresa anunció que por los momentos, las nuevas implementaciones se detendrán, la prioridad es trabajar en las reparaciones de estos problemas, según palabras de Eric Yuan, Ceo de Zoom.