《肺炎抗疫》使用 Zoom 開視訊會議前,必須確認的資安基本要點

網路犯罪集團隨時都在尋找賺錢及竊取資料的新機會，根據以往的經驗，全球發生熱門重大事件的時候就是他們的天賜良機，而目前全球最重大的事件就是冠狀病毒( COVID-19,俗稱武漢肺炎)疫情。這波疫情早已觸發了一波波的網路釣魚(Phishing)、變臉詐騙(BEC 詐騙)、勒索病毒以及資料外洩攻擊。隨著全球被迫在家工作(Work-From-Home,WFH)的員工人數持續增加，視訊會議軟體也開始成為歹徒瞄準的目標。

知名的視訊會議軟體 Zoom 儘管並非歹徒唯一的攻擊對象，但卻是今年目前為止一些重大事件的主角。所幸，您還是有一些方法可以保障您的企業安全。

Zoom 的資安疑慮因疫情被放大檢視

從某些方面來看，這款視訊會議軟體其實是被自己所累。過去就有研究人員指出該軟體的一些資安疑慮，例如：Mac 的 Zoom 用戶端出現零時差漏洞可能讓駭客經由使用者自己的網路攝影機來監視使用者。隨後不久，另一項研究也揭露該平台存在著某項 API 漏洞。只不過，這些漏洞目前仍尚未出現真實的攻擊案例。

但現在情況已大不相同：全球有許多人開始使用該軟體來進行商務和個人視訊會議，所以其資安風險才突然開始被放大檢視。

訂閱資安趨勢電子報

開會亂入的「Zoom-bombing」惡作劇攻擊

目前該軟體有幾項風險值得注意。首先是該平台被發現了多個新的漏洞：其中一個可讓駭客竊取 Windows 密碼，還有另外兩個可能讓駭客從遠端在受害 Mac 電腦上安裝惡意程式並監聽會議。

不過，絕大部分的新聞報導都

聚焦在所謂的「Zoom-bombing(Zoom 炸彈客)」，也就是一些不請自來的使用者破壞會議的進行。這通常發生在會議識別碼 (ID) 經由社群媒體分享的半開放式大型活動。如果會議沒有設定密碼，而且參加會議的人員沒有過濾機制，就可能會出現 Zoom 炸彈客。這些炸彈客一旦進入會議，就會開始發送一些激化的言論、播放色情內容、或者利用其他動作來擾亂會議進行。

「Zoom-bombing」Zoom 炸彈客惡作劇攻擊

惡作劇者取得 Zoom視訊會議鏈結後，亂入視訊會議或線上教學，用各種誇張舉動,比如喧鬧或分享不當圖片,干擾會議/課程的進行。比如美國有一名高中老師利用Zoom進行線上教學時，陌生人撥進了虛擬教室大罵髒話,還公布老師的地址。

駭客亂入 Zoom 視訊會議搜刮企業機密

同樣的技巧也可能被駭客用來竊聽或干擾商務會議，而這一切都是因為軟體設定上的安全漏洞 (或是利用暴力破解方式取得會議識別碼)。

駭客一旦能夠進入會議，就能趁機搜刮一些高度敏感或與市場相關的企業機密，甚至透過檔案傳輸功能散布惡意程式。

出現大量以Zoom 為名的網路釣魚

最後，還有一項威脅就是網路釣魚。駭客深知，在各國政府紛紛封城之際，所有使用者都在尋找面對面的溝通方式。因此，駭客會偽造 Zoom 的連結和網站，希望趁機竊取使用者的金融資訊、散布惡意程式、或者搜刮 Zoom 識別碼，目的是要滲透各種線上會議。根據某廠商指出，光三月份就有 2,000 個新註冊的網域，占今年目前為止所有新註冊網域的三分之二。

防禦 Zoom 帶來的風險

所幸，您可透過四個小小動作來降低 Zoom 相關的資安風險，最基本的是：

務必隨時採用最新版本的 Zoom 軟體。
應從可信賴的網站下載 Zoom 用戶端，並且在加入任何會議之前都應先檢查會議的連結是否有可疑跡象。
所有在家上班的人員都應該在裝置上安裝信譽優良且具備網路釣魚偵測功能的防毒軟體。
其次，很重要的一點是要重複檢查應用程式的系統管理設定來降低駭客和「Zoom 炸彈客」入侵的機會。其中最重要的是 Zoom 個人會議識別碼 (Personal Meeting ID)，這是每位使用者所擁有的一個 9 至 11 位數的代碼。駭客只要取得這個代碼，再加上會議沒有設定密碼，駭客就能隨意進入會議。

企業主該注意的 9 件事

只要一封外洩的電子郵件，或是透過簡單的暴力破解/猜測技巧，駭客就能取得會議識別碼(Personal Meeting ID)及相關的網址。這樣的威脅對於定期舉行的會議來說，是一種持續性的風險。
所幸，在預設情況下，自動產生密碼的功能現在會自動開啟，而使用個人會議識別碼的功能也會關閉，這表示 Zoom 會自動為每個會議建立一個隨機產生的一次性識別碼。這些設定沒事最好不要動，不過，企業應該做的還有：