Door internationale maatregelen die de Covid-19 pandemie proberen in te perken, is veel van het dagelijkse persoonlijk contact vervangen door video meetings. Een grote speler in deze trend is Zoom, die een waanzinnig grote groei heeft meegemaakt in de afgelopen weken. De populariteit van Zoom heeft echter ook geleid tot de populariteit van een ander fenomeen: Zoombombing. Zoombombing is wanneer een ongenode gast deelneemt aan een video meeting, met het doel de meeting te verstoren met storende of aanstootgevende beelden en geluid.
Dit fenomeen is vooral gerapporteerd bij scholen, maar ook overheidsinstanties, van lokale gemeenten tot aan de federale overheid van de verenigde staten zijn getroffen door Zoombombing.
Waarom Zoom?
Dat een ongenode gast inbreekt tijdens een online meeting is een risico dat bij alle online meeting diensten bestaat. Waarom is er echter zoveel aandacht voor Zoom?
Zoom is in de afgelopen maanden sterk in populariteit gestegen. Dit komt deels door het gebruiksgemak maar ook voor de vormgeving.
Daarnaast had Zoom tot medio april ook enkele grote problemen in de beveiliging en standaardinstellingen van Zoom meetings, wat samen met de populariteit van Zoom een aantrekkelijk doelwit maakt voor hacks en pranks.
Voor meer over de gebreken in de veiligheid van Zoom kun je ons andere artikel lezen.
In dit artikel zullen wij verder toelichten hoe Zoombombers precies inbreken op online meetings. Het is belangrijk om mee te nemen dat dit fenomeen niet beperkt is tot enkel Zoom en dat juist dankzij alle aandacht en populariteit het bedrijf grote stappen heeft gemaakt om Zoombombing tegen te gaan.
Slecht beveiligde meetings
De reden dat Zoombombing een fenomeen is geworden is omdat de het ontwerp en de standaard instellingen van Zoom meetings resulteren in slecht beveiligde meetings.
Onvoldoende opties om een meeting te beveiligen en standaardinstellingen die gericht zijn op gebruiksgemak in plaats van beveiliging resulteerde dat een groot deel van de Zoom meetings plaatsvond zonder wachtwoordbeveiliging en zonder wachtruimte. Dit betekende dat een zoombomber enkel de 9- of 11-cijferige meeting ID hoeft in te voeren om een lopende meeting binnen te vallen, en kunnen deze hackers codes proberen tot ze een willekeurig slachtoffer vinden. Er werden zelfs programma’s ontwikkeld die razendsnel verschillende codes kon testen en tot wel 100 onbeveiligde meetings per uur kon vinden.
Sinds 9 mei zijn wachtwoorden verplicht voor Zoom meetings en zijn de standaardinstellingen aangepast zodat de meeste meetings nu een wachtruimte zullen hebben en alleen de organisator het scherm kan delen.
Zoombombing een “inside job”?
Zelfs met wachtwoordbeveiliging zijn Zoombombers niet verslagen. Een alternatief hoe een buitenstaander toegang kan krijgen tot een meeting is namelijk met hulp van binnenuit. Vooral bij scholen speelt dit probleem, waar leerlingen meeting ID’s en wachtwoorden met elkaar uitwisselen zodat iemand uit een andere klas of van een andere school de les kan binnenvallen. Ook een wachtkamer is hier geen waterdicht middel tegen, omdat de Zoombomber gemakkelijk achter een vervalste naam kan schuilen, zoals die van een daadwerkelijke leerling of de naam van een andere medewerker van de school.
Google Dorking
Google dorking is een manier van “hacken” die gebruik maakt van slimme zoekwoorden om informatie te vinden die niet bedoeld was voor een breed publiek. Tenzij complexe instellingen zijn toegepast op een webpagina, indexeert Google vrijwel alle webpaginas. Waar dit mis kan gaan is wanneer een uitnodiging voor een meeting online wordt geplaatst. Bij uitnodigingen wordt vaak veel informatie gedeeld. Zo is er uiteraard een datum en tijd genoteerd, instructies om de meeting bij te wonen zoals een directe link, de Meeting ID en wachtwoord die de Zoombomber allemaal kan gebruiken om de meeting binnen te komen. Dan rest er nog 1 obstakel en dat is door de wachtruimte heen komen. Een Zoombomber kan kiezen voor een onopvallende naam die mogelijk binnen wordt gelaten als de organisator niet alle deelnemers kent. Daarnaast kan een zoombomber ook een naam gebruiken van bijvoorbeeld een van de sprekers die in de uitnodiging wordt genoemd.
Social Media
Selfies tijdens een sociale bijeenkomst zijn vervangen met screenshots van je online meeting. Het delen van een screenshot van een online meeting is momenteel de beste manier om aan je social media volgers te bewijzen dat je vrienden hebt of dat je succesvol bent en met andere succesvolle mensen vergadert. Wanneer een deelnemer besluit om een screenshot te delen tijdens een lopende vergadering kan dit tot problemen leiden. Tot enige tijd geleden was de meeting ID zichtbaar in de titel, en hierdoor ook zichtbaar in veel screenshots.
Dit probleem kwam onder de aandacht nadat Boris Johnson op Twitter een screenshot deelde inclusief meeting ID. Gelukkig was deze meeting voldoende beveiligd en leidde dit niet tot Zoombombing, maar wel op kritiek op het risico dat hij veroorzaakte. Om dit risico verder te verminderen heeft Zoom de meeting ID verwijderd uit de titel.
Conclusie
Zoombombing houdt in dat ongenode gasten toegang hebben tot jouw online meeting met het doel deze te verstoren. De methoden voor zoombombing zouden echter ook gebruikt kunnen worden om onopgemerkt deel te nemen aan een meeting om zo toegang te krijgen tot gevoelige informatie. Deze risico’s bestaan niet enkel bij Zoom, maar bij iedere applicatie voor online meetings.
Bekijk ook dit overzicht van enkele video meeting applicaties en hun veiligheidsmaatregelen.
Door verbeterde en verscherpte veiligheidsinstellingen in de apps zelf, is het extra belangrijk om deze opties door te nemen om het risico op deelname van ongewenste partijen te minimaliseren.