Una vulnerabilidad descubierta en la función de anotación durante la pantalla compartida de Zoom pudo haber permitido a un atacante tomar el control de los dispositivos de los participantes de una videollamada sin que estos realizaran ninguna acción. El fallo, denominado informalmente “Zoomsday” por los investigadores, afectaba a las versiones de Zoom para Windows, macOS, Linux, iOS y Android. La compañía ya distribuyó correcciones tanto en el lado del cliente como en sus servidores, según el boletín de seguridad citado por Wired, The Verge y Ars Technica.
De acuerdo con la investigación de la firma de defensa digital A Security, el ataque no requería que la víctima hiciera clic, abriera un archivo o interactuara con un mensaje. Un atacante presente en la llamada, o capaz de organizar una reunión con la víctima, podía ejecutar código malicioso de manera silenciosa. El sistema comprometido podía servir para extraer datos, activar la cámara o el micrófono, instalar programas maliciosos y acceder a credenciales que permitieran trasladarse posteriormente a otros sistemas de una organización.
Las fallas se encontraban en el protocolo empleado para la anotación en tiempo real mientras se compartía la pantalla. Esta herramienta permite dibujar o marcar contenido durante una presentación. Los investigadores sostienen que centraron sus sistemas de inteligencia artificial en ese componente porque las funciones complejas, poco utilizadas y ocultas en el código fuente propietario suelen escapar a las revisiones de seguridad más exhaustivas.
El aspecto más señalado del hallazgo es la velocidad y accesibilidad con la que, según A Security, pudo desarrollarse el exploit. La firmaasegura que descubrió las vulnerabilidades a principios de junio mediante modelos de IA disponibles públicamente y que necesitó menos de 20 instrucciones, o prompts, para identificar los fallos y construir un ataque funcional. Los investigadores compararon este resultado con los meses de trabajo de un equipo especializado que, según la misma fuente, podrían haber sido necesarios anteriormente.
Omer Gull, cofundador de A Security, afirmó a Wired que el elemento potencialmente más peligroso es la democratización de la capacidad de encontrar y exploiting vulnerabilidades. La reducción de la barrera técnica y económica podría ampliar el número de personas capaces de realizar ataques que antes se asociaban con grupos altamente especializados. En este caso, la confianza depositada en una plataforma de comunicación cotidiana incrementaba el riesgo: los usuarios suelen entrar a una videollamada con la guardia baja, especialmente cuando se trata de reuniones de trabajo, webinars o eventos con un número elevado de asistentes.
A Security indicó que el ataque podía ejecutarse contra cualquier persona conectada a una llamada en la que se utilizara la pantalla compartida, tanto anfitriones como participantes. La ausencia de una señal visual de compromiso dificultaba que la víctima detectara la intrusión. Yossi Torati, también cofundador de la empresa, resumió a Wired la gravedad del escenario: si un atacante lograba controlar el equipo de un empleado y sus credenciales, podía utilizarlos para desplazarse lateralmente dentro de la red empresarial.
Zoom publicó una advertencia de seguridad el martes y comenzó a desplegar las soluciones. La información proporcionada por las tres fuentes coincide en que no se trataba de un fallo limitado a un sistema operativo, sino de una vulnerabilidad transversal en los principales sistemas compatibles con la plataforma. Ars Technica y Wired precisan que la corrección incluyó cambios en las aplicaciones instaladas en los dispositivos de los usuarios y en los servidores de Zoom. La compañía no respondió, según Wired, a varias solicitudes de comentarios sobre el informe de A Security.
El caso reaviva el debate sobre el doble uso de la inteligencia artificial en ciberseguridad. Los mismos modelos que ayudan a defender sistemas pueden acelerar la localización de errores y la producción de exploits. A Security sostiene que su sistema completó la investigación en un solo día, una afirmación que no fue corroborada independientemente en las fuentes consultadas. En cualquier caso, los reportes coinciden en que el incidente muestra cómo la automatización está reduciendo el tiempo necesario para transformar una vulnerabilidad en un ataque operativo.
Por el momento, no se ha informado en estas fuentes de un número confirmado de víctimas ni de ataques masivos ejecutados contra usuarios. La evidencia disponible describe una vulnerabilidad potencialmente grave, no un incidente de explotación generalizado. La prioridad para usuarios y administradores es instalar las actualizaciones de Zoom en todos los dispositivos y comprobar que las aplicaciones se actualicen automáticamente. También resulta prudente evitar reuniones de origen desconocido, mantener las herramientas de seguridad activas y revisar la configuración de pantalla compartida y anotaciones.
En conclusión, el fallo de Zoom ya está siendo corregido, pero el episodio deja una advertencia más amplia: las funciones de confianza y colaboración digital pueden convertirse en puertas de entrada si contienen errores ocultos. La rápida incorporación de la IA a la búsqueda de vulnerabilidades vuelve imprescindible que las empresas refuercen la revisión de componentes poco visibles, comuniquen los parches con rapidez y traten cualquier encuentro remoto como una posible superficie de ataque.