Il punto più serio? La vittima non avrebbe dovuto cliccare link, scaricare file o dare autorizzazioni. Bastava essere lì, dentro la riunione.
Il passaggio più delicato riguarda il tipo di attacco: una falla zero-click, cioè capace di scattare senza alcuna azione da parte dell’utente preso di mira. Secondo la ricostruzione dei ricercatori, era sufficiente trovarsi nella stessa riunione Zoom e avere attiva la condivisione dello schermo. Da lì, il meccanismo poteva partire in silenzio.
Sul piano tecnico si parla di possibile esecuzione di codice da remoto, una delle ipotesi più temute nella sicurezza informatica. In parole semplici: chi attaccava, se riusciva a usare la falla nel modo giusto, poteva far eseguire istruzioni sul dispositivo della vittima. Non un semplice crash dell’app, quindi. Qualcosa di molto più pesante.
Secondo gli esperti, il problema poteva riguardare sia chi ospitava la chiamata sia gli altri partecipanti collegati. Nessun allegato sospetto. Nessun avviso. Nessun segnale evidente sullo schermo. Ed è proprio questo ad aver acceso l’attenzione: la falla toccava un gesto normale, quasi automatico, come condividere una presentazione, un documento o una schermata di lavoro durante una riunione.
Da Windows ad Android: tutti i sistemi finiti nel mirino
La vulnerabilità, secondo quanto riferito da A Security, interessava tutti i principali sistemi operativi supportati da Zoom: Windows, macOS, Linux, iOS e Android. Non era quindi un problema limitato a una singola versione desktop o a un solo tipo di dispositivo, come spesso succede in casi simili.
È un dettaglio importante, perché Zoom viene usato ogni giorno ovunque: aziende, scuole, studi professionali, università, riunioni di famiglia. È installato su computer d’ufficio, smartphone personali e tablet. E non sempre viene aggiornato subito. “Lo faccio dopo” è una frase che molti utenti conoscono fin troppo bene.
Nelle informazioni pubbliche riprese finora, la società di sicurezza non ha indicato casi confermati di uso della falla su larga scala. Resta però il punto: una vulnerabilità del genere, se lasciata aperta, avrebbe potuto diventare un accesso molto interessante per gruppi criminali o soggetti più organizzati. Soprattutto dove le riunioni online passano dati sensibili, credenziali e documenti interni.
La patch c’è: perché aggiornare Zoom senza rimandare
Dopo la segnalazione, Zoom ha pubblicato una patch correttiva per chiudere la falla. Il consiglio, in questi casi, è semplice: aggiornare subito l’app su tutti i dispositivi. Non solo sul computer principale. Anche uno smartphone rimasto con una vecchia versione può diventare un punto debole.
La versione installata si può controllare dalle impostazioni dell’app o dagli store ufficiali, come App Store e Google Play per telefoni e tablet. Sui computer, l’aggiornamento passa dal client di Zoom oppure dal download dell’ultima versione dal sito della società. È un’operazione breve, ma spesso fa la differenza.
Il caso ricorda una regola base della sicurezza digitale: le app che usiamo tutti i giorni, proprio perché ci sembrano familiari, finiscono per essere percepite come meno rischiose. Ma sono bersagli importanti. Non serve immaginare scenari lontani: una riunione di lavoro alle 9.30, una schermata condivisa, dieci persone collegate. Se il software non è aggiornato, una falla può diventare una porta aperta.
Meno di venti prompt: così l’AI ha aiutato a trovare la falla
L’aspetto che ha colpito di più gli addetti ai lavori è il modo in cui la vulnerabilità è stata individuata. Il cofondatore di A Security, Omer Gull, ha raccontato a WIRED che in passato una scoperta simile avrebbe richiesto “un team di cinque persone e forse sei mesi di lavoro”. Questa volta, ha spiegato, sarebbero bastati meno di venti prompt usando modelli di intelligenza artificiale disponibili pubblicamente.
La frase pesa, perché racconta un cambio di passo. L’AI non rende di per sé pericolosa la ricerca sulle vulnerabilità, ma abbassa la soglia tecnica per analizzare codice, fare ipotesi e scovare punti deboli in software molto diffusi. Quello che fino a poco tempo fa richiedeva competenze rare e mesi di tentativi può oggi essere accelerato da strumenti accessibili a molte più persone.
Per i ricercatori di sicurezza è un vantaggio: aiuta a trovare falle prima che vengano usate da altri. Per le aziende, però, la pressione aumenta. Il tempo tra la scoperta di un problema e il suo possibile uso da parte di terzi si accorcia. E la finestra per intervenire diventa sempre più stretta.
C’è anche un dettaglio quasi ironico, ma significativo: secondo il racconto pubblicato, la conversazione con la giornalista di WIRED sulla falla di Zoom si sarebbe svolta su Microsoft Teams. Una scelta prudente, forse. O semplicemente un promemoria: nell’era delle riunioni online e dell’intelligenza artificiale, la fiducia nelle piattaforme deve andare di pari passo con aggiornamenti rapidi e controlli continui.
>> Home