Specialistai įspėja: „Zoom“ programa šnipinėja vartotojų kompiuterius ir siunčia duomenis į „Facebook“

Lietuvoje pratęsus karantino laikotarpį, gyventojai ir toliau aktyviai naudojasi programomis, kurios suteikia nuotolinę prieigą prie įmonės tinklų, padeda organizuoti ar dalyvauti virtualiuose susitikimuose. Didelio dėmesio COVID-19 metu sulaukė programinė įranga „Zoom", naudojama organizuoti susitikimus, pamokas ir netgi vaizdo skambučius laisvalaikio metu. Tačiau, nepaisant programos populiarumo, „Zoom" pastarosiomis dienomis žiniasklaidoje vis dažniau minima kaip itin daug saugumo spragų turintis sprendimas.

„ESET Lietuva" kibernetinio saugumo specialistai įspėja, jog neįprastai aukšta šios programos apkrova parodė iki šiol neatskleistas kibernetinio saugumo grėsmes.

„Zoom" programos kūrėjai sulaukia kritikos ne tik iš saugumo ekspertų, tačiau ir iš kitų organizacijų. Didžiosios Britanijos vyriausybės Krašto apsaugos ministerija dar kovo mėnesio 27 dieną uždraudė savo darbuotojams naudoti šią programinę įrangą. Programoje aptiktos saugumo spragos taip pat sulaukė ir JAV nusikaltimų tyrimų ir žvalgybos tarnybos federalinio tyrimų biuro (FTB) (angl. Federal Bureau of Investigation, FBI) dėmesio.

Reaguojant į pasirodžiusią kritiką, „Zoom" programinę įrangą valdančios ir kuriančios įmonės vadovas Eric S. Yuan pateikė viešą atsiprašymą. Pranešta, kad nuo balandžio mėnesio pradžios 90 dienų laikotarpiui yra apribojamos „Zoom" programos funkcijos, siekiant išpręsti atsiradusias kibernetinio saugumo spragas.

„ESET Lietuva" IT inžinierius Ramūnas Liubertas teigia, kad renkantis bet kokią programinę įrangą, skirtą kompiuteriui ar mobiliajam įrenginiui, būtina atidžiai patikrinti, kokių prieigų prašo diegiama programa. „Neretai programos prašo leidimo prieiti prie asmeninės informacijos ir jį patvirtinus programos kūrėjui suteikiama teisė, pvz., patekti į jūsų nuotraukų albumą. Talpiuose telefonuose yra saugomos šimtai ar net keli tūkstančiai nuotraukų, o jose galima atrasti įvairiausio „gėrio": nuo atvirų nuotraukų iki kadaise nufotografuotos bankinės kortelės ar slaptažodžių sąrašo. Sutikime, tuo tikrai nenorėtume dalintis su trečiosiomis šalimis“, – kalbėjo IT inžinierius R. Liubertas.

Kibernetinio saugumo specialistai įvardina penkias pagrindines „Zoom" programos saugumo spragas:

1. Remiantis „Vice" portalo duomenimis, „Zoom" privatumo politikoje nebuvo įvardinta, kad „iOS" pritaikyta programos versija siunčia duomenis apie vartotojų elgesį į „Facebook" net ir tuomet, kai prisijungęs asmuo neturi „Facebook" paskyros. „Zoom" kompanija atsižvelgė į šią kritiką ir pašalino „Facebook" programinės įrangos paketą iš savo gaminio, skirto „iOS" vartotojams. „Zoom" kompanijai iškeltas ieškinys pradėtas nagrinėti JAV Kalifornijos valstijoje.

2. „Zoom" kompanija yra paskelbusi, kad jų programinė įranga geba šifruoti garso bei vaizdo pokalbius tarp pašnekovų, kad jie taptų neperskaitomi tretiesiems asmenims. Tačiau remiantis „The Intercept" atliktu tyrimu, atskleista, kad „Zoom" tokios funkcijos nepalaiko. „Zoom" kompanijos atstovai atsiprašė dėl netinkamos informacijos ir patikslino, kad programoje yra naudojamas transporto lygmens saugumo (angl. Transport Layer Security – TLS) protokolas, tačiau jis neužtikrina, kad vartotojų komunikacijos duomenys būtų neprieinami „Zoom" kompanijai.

3. Programoje taip pat aptikti saugumo pažeidimai leido ne tik prieiti prie „Windows" operacinės sistemos vartotojų prisijungimo slaptažodžių, tačiau ir perimti įrenginio darbą, atlikti veiksmus įrenginyje savininkui to netgi nežinant. Dar du pažeidimai atskleidė, kad „Zoom" naudojant su „MacOS" operacine sistema, kompiuteris tapdavo pažeidžiamas piktavaliams ir programišiams.

4. „Zoom" turima funkcija, pavadinimu „dalyvių sekimas" (angl. attendee tracking) leisdavo nuotolinio susitikimo organizatoriui stebėti, ar susirinkę dalyviai iš tiesų yra sutelkę dėmesį į transliaciją, kuomet organizatorius dalijasi savo ekranu. JAV nusikaltimų tyrimų ir žvalgybos tarnybos pranešė apie nusikalstamus veiksmus, žiniasklaidoje vadinamus skambiu pavadinimu „Zoom bombardavimas" (angl. Zoom-bombing), kuomet piktavaliai programišiai įsilauždavo į privačius vaizdo skambučius, kurie vykdavo pamokų metu ir rodydavo netinkamus vaizdus bei turinį.

Aukščiau išvardintos saugumo spragos jau paveikė didelį kiekį nieko neįtariančių vartotojų, kadangi per pastaruosius tris mėnesius, ypač karantino laikotarpiu, „Zoom" programos kasdieninis naudojimas išaugo nuo 10 iki 200 milijonų naudotojų.

Kibernetinio saugumo specialistai pateikia 5 patarimus, į ką atkreipti dėmesį renkantis nuotolinio bendravimo programas:

1. Nuotolinius susitikimus apsaugokite slaptažodžiu: apsaugant savo vaizdo skambučius su slaptažodžiu, išvengsite nepageidaujamų prisijungimų. Taip pat rekomenduojama naudoti „Zoom" programoje esančia laukimo (angl. „Waiting Room") funkciją.

2. Ekranu dalintis leiskite tik organizatoriui: virtualūs susirinkimai reikalauja taisyklių taip pat kaip ir įmonės biure planuojami susitikimai. Nustatykite aiškias taisykles ir ekrane rodyti pristatymus bei dalintis ekranu leiskite tik organizatoriui.

3. Naudokite tik naujausią „Zoom" programinės įrangos versiją: norintiems ir toliau naudotis „Zoom" programine įranga, patariama įsidiegti naujausią jos versiją, kurioje jau yra ištaisyta dauguma saugumo spragų.

4. Nesidalinkite skambučių nuoroda socialinėje medijoje: venkite dalintis privataus susitikimo nuoroda socialinėje erdvėje, kadangi galite sulaukti nepageidaujamų asmenų, kurie bandys jungtis prie privataus skambučio.

5. Naudokite vaizdo skambučio ID, o ne nuorodą: dėl išaugusio „Zoom" naudojimo padaugėjo šia programa bandančių pasinaudoti domenų, skirtų užkrėsti jūsų įrenginius kenkėjiškomis programomis. Patariama nesinaudoti URL nuorodomis, o į vaizdo skambučius dalyvius kviesti siunčiant skambučio ID.