トレンドマイクロは4月15日、公式ブログで「安全なテレワークのために:『Zoom』のリスクとセキュリティを理解する」と題する記事を公開しました。新型コロナウイルス(COVID-19)の流行にともない注目を集める「Zoom」のセキュリティリスクについて解説した内容です。
「Zoom」は米Zoom Video Communications社が提供するビデオ会議サービスですが、今年に入り利用者が2億人を突破するなど、利用が急拡大しています。一方で、さまざまなセキュリティ上の問題を抱えており、独立行政法人情報処理推進機構(IPA)もすでに注意を呼びかけています。今回トレンドマイクロは、「Zoom Bombing」、脆弱性、フィッシングという3つの問題点を紹介しています。
「Zoom Bombing(ズーム爆弾、ズーム爆撃)」は、Zoom会議に招かれていない第三者が勝手に会議に参加し嫌がらせをする迷惑行為の総称です。単なる嫌がらせ行為だけではなく、潜伏してZoom会議の内容を盗み聞きして情報漏えいさせる、参考資料などに偽装したマルウェアを他の参加者に送付するなど、より悪質な行為も可能です。これは、開催者が会議に対してパスワードを設定していない場合、ミーティングIDがわかれば誰でも会議に参加できるZoomの仕様に問題があるためです。
またZoomの利用時には、Windows、Macともにクライアントソフトを導入する必要がありますが、これらソフトにさまざまな脆弱性が残っていたことが発覚しています。たとえばWindows版の脆弱性を悪用された場合には、第三者が認証情報を盗んだり、任意のプログラムを実行させたりすることが可能でした。Zoomは脆弱性に対処した最新バージョンを随時公開しています。
そしてZoomが注目を集めたことで、これに便乗するネット詐欺も登場しつつあります。たとえば、2020年頭からこれまでに“zoom”の文字列を含む新ドメインが3,300も確認されており、そのうちの7割近くが3月中に作成されたものだとの報道がありました。これらの新ドメインがすべて不正目的で作成されたとは言えませんが、サイバー犯罪者が、情報詐取を目的に準備している可能性が考えられます。すでに、パスワードを含むZoomアカウント情報がダークウェブ上で2,000件以上公開されていた、との報道もあります。
「Zoom」の認証情報を狙うフィッシングサイトの画面例