Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de Zoom
Filtración de datos de Zoom
La pandemia de COVID-19 convirtió a Zoom en un nombre conocido de la noche a la mañana, pero su rápido crecimiento trajo consigo serios problemas de seguridad. Una serie de incidentes en 2020, incluyendo una filtración de datos importante, expuso la información personal de cientos de miles de usuarios. No se trató de un solo ataque masivo, sino de una combinación de ataques de credential stuffing y fallas de seguridad que pusieron en riesgo los datos de los usuarios.
Filtración de datos de Zoom explicada: ¿qué pasó?
A principios de 2020, mientras el mundo entraba en confinamiento, surgieron reportes de que más de 500.000 credenciales de cuentas de Zoom se vendían en la dark web. Los datos, incluyendo direcciones de correo electrónico, contraseñas y URL de reuniones personales, no se robaron mediante un ataque directo a los servidores de Zoom. En cambio, los atacantes usaron una técnica llamada credential stuffing, donde tomaron credenciales de filtraciones de datos anteriores y las probaron en cuentas de Zoom.
¿Cuándo ocurrió la filtración de datos de Zoom?
Los principales incidentes relacionados con los ataques de credential stuffing se descubrieron y reportaron en abril de 2020. Esto ocurrió durante un período de intenso escrutinio sobre las prácticas de seguridad y privacidad de Zoom, incluyendo problemas como el "Zoombombing", donde invitados no deseados interrumpían las reuniones.
¿Quién hackeó Zoom?
Los ciberdelincuentes detrás de los ataques de credential stuffing no eran un solo grupo identificado. Se trataba de atacantes oportunistas que aprovechaban grandes colecciones de credenciales de usuario robadas previamente para comprometer cuentas de Zoom. Su objetivo principal era vender estas cuentas en foros y mercados de la dark web por tan solo un centavo por cuenta, e incluso a veces de forma gratuita.
¿Cómo ocurrió la filtración de Zoom?
El vector de ataque principal fue el credential stuffing. Los actores de amenazas tomaron nombres de usuario y contraseñas filtrados de otras filtraciones de datos más antiguas y usaron herramientas automatizadas para intentar iniciar sesión en Zoom. Dado que muchas personas reutilizan contraseñas en diferentes servicios, estos intentos tuvieron mucho éxito. Este método permitió a los atacantes obtener acceso a cuentas válidas sin necesidad de vulnerar directamente la infraestructura de red propia de Zoom.
Cronología de la filtración de datos de Zoom
Principios de 2020: Los usuarios diarios de Zoom se disparan de 10 millones a más de 300 millones de participantes diarios en reuniones, lo que pone su seguridad bajo la lupa.
1 de abril de 2020: Las firmas de ciberseguridad comienzan a notar grandes lotes de credenciales de Zoom a la venta en foros de la dark web.
Abril de 2020: Los reportes confirman que más de 500.000 cuentas de Zoom fueron comprometidas mediante credential stuffing. Zoom comienza un plan de 90 días para abordar sus problemas de seguridad y privacidad.
Noviembre de 2020: La Comisión Federal de Comercio (FTC) anuncia un acuerdo con Zoom por afirmaciones de seguridad engañosas, incluyendo sus promesas de cifrado de extremo a extremo.
Julio de 2021: Zoom acuerda en principio un acuerdo de demanda colectiva de $85 millones relacionado con incidentes de seguridad y "Zoombombing". El acuerdo quedó sujeto a aprobación judicial y recibió la aprobación final en abril de 2022 (In re Zoom Video Communications Privacy Litigation, N.D. Cal., Case No. 5:20-cv-02155-LHK).
Detalles técnicos
Los atacantes no necesitaron técnicas sofisticadas para comprometer las cuentas de usuario. Usaron herramientas automatizadas de credential stuffing que podían probar rápidamente miles de combinaciones de nombre de usuario y contraseña contra el portal de inicio de sesión de Zoom. Una vez que encontraban un par funcional, compilaban listas de estas cuentas válidas. Luego, los datos se empaquetaban y se ofrecían a la venta, lo que permitía a otros delincuentes usar las cuentas para actividades maliciosas como Zoombombing o robo de identidad.
Indicadores de compromiso (IoC)
Dado que el ataque se basó en credential stuffing en lugar de una intrusión de red, no hay indicadores de compromiso (IoC) específicos, como hashes de malware o direcciones IP maliciosas, asociados con la infraestructura de Zoom. El indicador principal fue la disponibilidad a gran escala de credenciales de usuario en la dark web.
Investigación forense y del incidente
Las investigaciones realizadas por firmas de ciberseguridad externas y por el propio Zoom confirmaron que los servidores de la compañía no fueron vulnerados. La causa raíz fue la reutilización de contraseñas por parte de los usuarios. La investigación de la FTC se centró en las prácticas de seguridad de Zoom, y encontró que la compañía incurrió en prácticas desleales y engañosas al dar información equívoca a los usuarios sobre su nivel de cifrado y al almacenar grabaciones de reuniones sin cifrar durante más tiempo del necesario.
¿Qué datos se vieron comprometidos en la filtración de Zoom?
La filtración expuso una variedad de datos de usuario que podrían usarse para actividades maliciosas adicionales.
Los datos comprometidos incluyeron:
Direcciones de correo electrónico (nombres de usuario)
Contraseñas
URL de reuniones personales
HostKeys
¿Cuántas personas se vieron afectadas por la filtración de datos de Zoom?
Se confirmó que más de 500.000 cuentas de usuario fueron comprometidas y sus datos se publicaron a la venta en la dark web.
¿Se expusieron mis datos en la filtración de Zoom?
Zoom notificó a algunos usuarios cuyas credenciales se sabía que estaban comprometidas. Sin embargo, la mejor manera de verificar si tu información se expuso en esta o cualquier otra filtración es usar un servicio como Have I Been Pwned. Si reutilizaste en Zoom una contraseña que usaste en otro lado, es muy probable que tu cuenta estuviera en riesgo.
Impactos clave de la filtración de Zoom
La filtración tuvo consecuencias importantes tanto para Zoom como para sus usuarios.
Daño reputacional: El incidente de credential stuffing, sumado al fenómeno del "Zoombombing" y a los hallazgos de la FTC, dañó gravemente la confianza de los usuarios en la plataforma de Zoom.
Pérdida financiera: Zoom acordó en principio un acuerdo de demanda colectiva de $85 millones en julio de 2021, con aprobación final del tribunal otorgada en abril de 2022, resolviendo reclamos relacionados con violaciones de privacidad e incidentes de Zoombombing (In re Zoom Video Communications Privacy Litigation, N.D. Cal., Case No. 5:20-cv-02155-LHK).
Escrutinio regulatorio: La filtración llevó a un acuerdo con la FTC, que exige a Zoom implementar un programa de seguridad más robusto y someterse a auditorías regulares de terceros.
Respuesta a la filtración de datos de Zoom
Hay que reconocerle a Zoom que actuó de forma rápida y pública una vez que los problemas de seguridad salieron a la luz. La empresa inició una congelación de funciones de 90 días para enfocar todos los recursos de ingeniería en solucionar los problemas de privacidad y seguridad. También contrataron al exCSO de Facebook, Alex Stamos, como consultor de seguridad, adquirieron la empresa de mensajería segura Keybase para desarrollar el cifrado de extremo a extremo, y fueron transparentes al comunicar los pasos que estaban tomando.
Lecciones de la filtración de datos de Zoom
Este incidente es un recordatorio contundente de algunas verdades fundamentales de la ciberseguridad.
La reutilización de contraseñas es un riesgo ENORME: Toda la filtración se impulsó por usuarios que reciclaban contraseñas. Una contraseña fuerte y única para cada servicio no es negociable.
El crecimiento rápido puede exponer brechas de seguridad: El crecimiento explosivo de Zoom superó sus medidas de seguridad. Las empresas deben asegurarse de que la seguridad crezca junto con las operaciones.
La transparencia es clave: Aunque la filtración fue perjudicial, la respuesta transparente de Zoom y su compromiso con solucionar los problemas la ayudaron a recuperar con el tiempo la confianza de los usuarios.
¿Es seguro Zoom después de la filtración?
Sí, Zoom es mucho más seguro ahora que en 2020. Tras los incidentes, la empresa hizo inversiones masivas en su programa de seguridad. Esto incluye implementar cifrado de extremo a extremo (E2EE) real para todos los usuarios, mejorar los controles de acceso y someterse a auditorías de seguridad regulares según lo exige su acuerdo con la FTC. Aunque ninguna plataforma es 100 % inmune a los ataques, la postura de seguridad de Zoom ahora es mucho más sólida.
Estrategias de mitigación y prevención
Proteger a tu organización del credential stuffing y ataques similares se reduce a una higiene de seguridad fundamental. Esto es lo que necesitas hacer:
Aplica la autenticación multifactor (MFA): Esta es la forma más efectiva de detener los ataques de credential stuffing. Aunque un atacante tenga una contraseña válida, no podrá iniciar sesión sin el segundo factor.
Usa un gestor de contraseñas: Anima a los empleados a usar un gestor de contraseñas para generar y almacenar contraseñas fuertes y únicas para cada servicio.
Monitorea credenciales filtradas: Usa servicios que puedan alertarte si los dominios de correo de tu empresa aparecen en una filtración de datos.
Educa a tus usuarios: Security awareness training es fundamental. Enséñale a tu equipo los peligros de reutilizar contraseñas y cómo detectar intentos de phishing.
Preguntas frecuentes sobre la filtración de datos de Zoom
La filtración de datos de Zoom de 2020 no fue un hackeo directo de los servidores de Zoom. En cambio, los atacantes usaron una técnica llamada credential stuffing. Tomaron nombres de usuario y contraseñas de filtraciones anteriores de otras empresas y los usaron para iniciar sesión en cuentas de Zoom, logrando acceso gracias a que las personas reutilizaban contraseñas.
Más de 500.000 cuentas de usuario tuvieron sus datos expuestos, incluyendo direcciones de correo electrónico, contraseñas, URL de reuniones personales y HostKeys. Esta información luego se recopiló y se vendió en foros de la dark web, poniendo a los usuarios en riesgo de toma de control de una cuenta y otras actividades maliciosas.
El ataque fue llevado a cabo por varios cibercriminales no identificados. No eran un único grupo organizado de hackers, sino actores oportunistas que usaron herramientas automatizadas para explotar el hábito común de reutilizar contraseñas. Su objetivo era vender las cuentas comprometidas con fines de lucro en la dark web.
Las empresas pueden protegerse de los ataques de credential stuffing aplicando la autenticación multifactor (MFA) en todos los servicios. Además, promover el uso de gestores de contraseñas para crear contraseñas únicas y realizar security awareness training de forma regular puede reducir significativamente el riesgo de que una cuenta se vea comprometida.
