Circa 530.000 credenziali di Zoom sono state messe in vendita nei forum criminali al prezzo di 0,002 dollari l’una. Una società di intelligence le ha acquistate in blocco in questi giorni, e altre migliaia vengono regalate dai venditori per farsi pubblicità. Mezzo milione di account per poco più di mille dollari.
Per ogni account gli elenchi riportano indirizzo email, password, link della stanza personale e host key, il codice a sei cifre che dà i poteri di organizzatore della riunione. Tra i titolari ci sono banche, grandi aziende e numerose università.
Il tempismo non è casuale. Con il lockdown Zoom è passato in poche settimane da strumento aziendale a piattaforma di massa per lavoro, scuola e famiglia, e dove si spostano le persone arrivano anche i truffatori.
I server di Zoom non c’entrano
Gli elenchi non arrivano da un’intrusione nei sistemi di Zoom. Sono il risultato del credential stuffing: i criminali prendono coppie di email e password rubate in vecchie violazioni di altri siti e le provano in automatico su Zoom. Quelle che funzionano finiscono in vendita. Se usi la stessa password su più servizi, sei esposto anche se Zoom non ha subito alcun attacco diretto.
Il problema si aggiunge alle altre grane di queste settimane: lo zoombombing, con intrusi che entrano nelle riunioni senza invito, e le domande sulla cifratura delle chiamate. Zoom ha annunciato una pausa di 90 giorni sulle nuove funzioni per concentrarsi sulla sicurezza, e ha già attivato di default password e sala d’attesa per le riunioni.
Se la password di Zoom è la stessa che usi altrove, cambiala oggi, e da qui in avanti usane una diversa per ogni servizio, meglio se con un gestore di password. Controlla con un servizio pubblico di verifica se la tua email compare in violazioni note, e attiva l’autenticazione a due fattori sugli altri servizi che la offrono. Per le riunioni tieni sempre attive password e sala d’attesa, non pubblicare i link sui social e non usare la stanza personale per incontri pubblici. Se gestisci gli account aziendali, imponi l’accesso tramite login aziendale (SSO) e cambia le host key.
Per chi la vende, la tua password riciclata vale una frazione di centesimo. Per te vale molto di più.
