Nowo ujawniony zestaw luk w Zoomie pokazał, jak atakujący mogliby przejąć kontrolę nad urządzeniem innego uczestnika spotkania bez żadnego działania ze strony ofiary, stwarzając nowe ryzyko bezpieczeństwa dla użytkowników kryptowalut, którzy wielokrotnie byli celem ataków przez rozmowy wideo.
Podsumowanie
- Firma A Security poinformowała, że badacz użył mniej niż 20 podpowiedzi AI, aby znaleźć trzy luki w Zoomie i zbudować działający exploit w mniej niż 24 godziny.
- Atak Zoomsday mógł przejąć kontrolę nad urządzeniem uczestnika spotkania bez wymagania jakiegokolwiek działania ze strony ofiary.
- Użytkownicy kryptowalut są narażeni na dodatkowe ryzyko, ponieważ hakerzy wcześniej wykorzystywali zhakowane spotkania Zoom do kradzieży danych portfela i innych poufnych informacji.
- Zoom wydał poprawki między 22 czerwca a 20 lipca, ale użytkownicy starszych wersji nadal muszą zaktualizować swoje aplikacje.
Według izraelskiej firmy zajmującej się cyberbezpieczeństwem A Security, badacz użył mniej niż 20 podpowiedzi z publicznie dostępnymi modelami sztucznej inteligencji, aby odkryć luki i zbudować działający atak w mniej niż 24 godziny. Firma nazwała atak „Zoomsday” i stwierdziła, że luki dotyczyły systemu adnotacji Zoom, który pozwala uczestnikom spotkania rysować lub dodawać notatki do udostępnianych treści.
Po wykorzystaniu luki mogły pozwolić na uruchomienie złośliwego kodu na urządzeniu innego uczestnika bez konieczności pobierania pliku, klikania linku lub zatwierdzania działania przez tę osobę, zgodnie z raportem. Według firmy atakujący mógł następnie ukraść dane osobowe, zainstalować złośliwe oprogramowanie lub aktywować mikrofon i kamerę urządzenia.
Dla użytkowników kryptowalut możliwość skompromitowania komputera bezpośrednio przez spotkanie może nieść dodatkowe ryzyko, ponieważ atakujący wcześniej wykorzystywali rozmowy Zoom do dotarcia do portfeli kryptowalut, prywatnych plików i innych poufnych informacji.
Exploit Zoom może celować w dowolnego uczestnika spotkania
Luki, oznaczone jako CVE-2026-53413, CVE-2026-53414 i CVE-2026-53415, zostały przetestowane na aplikacjach Zoom działających na systemach Windows, macOS, Linux, Android i iOS.
Atak mógł działać z obu stron rozmowy. Według badaczy skompromitowany prezenter mógł atakować uczestników, a uczestnik mógł również celować w prezentera. Atakujący musiał tylko dołączyć do spotkania lub być jego gospodarzem przed wysłaniem złośliwych danych niezbędnych do wyzwolenia luki.
Nie była wymagana żadna dalsza interakcja ze strony celu, a A Security stwierdziło, że ofiara nie otrzymałaby żadnego widocznego ostrzeżenia, że urządzenie zostało skompromitowane.
„Gdy złośliwy kod działa na urządzeniu ofiary, sprawca może po cichu ukraść dane osobowe, włączyć mikrofon lub kamerę, aby szpiegować cel, lub zainstalować inne złośliwe oprogramowanie” – powiedziała firma.
„Exploity takie jak ten są bronią. Rządy regulują ich eksport. Organizacje przestępcze płacą za nie miliony” – napisali badacze.
Według firmy badaczom udało się ukończyć proces w jeden dzień za pomocą agenta AI i modeli, które były publicznie dostępne. To odkrycie dodaje dowodów na to, że systemy AI mogą skrócić czas wymagany do identyfikacji słabości oprogramowania i opracowania metod ich wykorzystania.
Użytkownicy kryptowalut już doświadczyli ataków Zoom
Metoda ataku jest szczególnie istotna dla branży kryptowalut, ponieważ sprawcy wielokrotnie wykorzystywali spotkania wideo jako punkt wejścia podczas atakowania założycieli, programistów, inwestorów i kadry kierowniczej.
W styczniu crypto.news poinformował, że hakerzy używali skompromitowanych kont Telegram i rozmów Zoom z deepfake'ami, aby celować w profesjonalistów kryptowalutowych. Atakujący podszywali się pod osoby znane swoim celom, a następnie wykorzystywali pozorne problemy z dźwiękiem podczas rozmów, aby przekonać ofiary do zainstalowania złośliwego oprogramowania.
Współzałożyciel BTC Prague, Martin Kuchař, powiedział wówczas, że kampania na wysokim poziomie celowała w użytkowników Bitcoina i kryptowalut. Atakujący używali skompromitowanych kont należących do zaufanych kontaktów, a następnie przenosili rozmowy na połączenia wideo, gdzie fałszywi uczestnicy mogli pojawiać się za pomocą nagrań deepfake.
W przeciwieństwie do tych kampanii, exploit Zoomsday opisany przez A Security nie wymagałby od ofiary zainstalowania rzekomej aktualizacji, jeśli atakujący skutecznie wykorzystałby podatnego klienta Zoom. Badacze stwierdzili, że samo bycie na tym samym spotkaniu mogłoby zapewnić wymaganą ścieżkę do docelowego urządzenia.
Podobne ataki oparte na Zoomie doprowadziły już do kradzieży kryptowalut.
We wrześniu 2025 roku współzałożyciel THORChain, JP Thor, stracił około 1,3 miliona dolarów po tym, jak skompromitowane konto Telegram należące do przyjaciela zostało wykorzystane do zwabienia go na spotkanie, które wyglądało na legalne spotkanie Zoom. Jak wcześniej informowano we wrześniu, Thor powiedział, że dołączył przez oficjalny link Zoom i zobaczył deepfake swojego przyjaciela, zanim złośliwy skrypt zaczął kopiować pliki z jego komputera.
Atakujący uzyskali dostęp do wrażliwych informacji po tym, jak skrypt zaczął kopiować folder dokumentów iCloud do katalogu tymczasowego. Thor później prześledził kompromitację do spotkania.
Fałszywe połączenia Zoom opróżniły portfele kryptowalut
Inne kampanie opierały się na dłuższym łańcuchu inżynierii społecznej, zanim złośliwe oprogramowanie dotarło do ofiary.
Raport z grudnia 2025 roku szczegółowo opisał kampanię o wartości 300 milionów dolarów, w której północnokoreańscy hakerzy rzekomo przejęli zaufane konta Telegram i wykorzystali fałszywe spotkania Zoom lub Microsoft Teams do atakowania dyrektorów kryptowalut.
Według raportu, atakujący używali wcześniej nagranych materiałów z rozpoznawalnymi kontaktami branżowymi podczas spotkań i tworzyli fałszywe problemy techniczne. Następnie ofiary były kierowane do zainstalowania rzekomych poprawek zawierających złośliwe oprogramowanie zdalnego dostępu, co dawało atakującym kontrolę nad ich komputerami i dostęp do portfeli kryptowalut.
Wcześniejszy atak na partnera inwestycyjnego Hypersphere i byłego dyrektora Animoca Brands, Mehdiego Farooqa, przebiegał według podobnego schematu. W czerwcu 2025 roku Farooq powiedział, że stracił dużą część swoich oszczędności życia po otrzymaniu wiadomości Telegram od zawodowego znajomego, którego konto zostało skompromitowane. Atakujący później poprosił go o przeniesienie zaplanowanej rozmowy do Zoom Business, zanim złośliwe oprogramowanie zostało wprowadzone przez fałszywą aktualizację.
Współzałożyciel Manta Network, Kenny Li, również zgłosił próbę ataku przez Zoom w kwietniu 2025 roku. Li powiedział, że znany kontakt zaprosił go na spotkanie, podczas którego uczestnik pojawił się przed kamerą, ale nie było słychać żadnego dźwięku. Następnie poproszono go o pobranie skryptu przedstawionego jako aktualizacja Zoom, ale uniknął jego instalacji i próbował zweryfikować uczestnika za pośrednictwem innego kanału komunikacji.
Wyniki Zoomsday usuwają jedną z głównych przeszkód widocznych we wcześniejszych atakach. Skuteczne wykorzystanie nie zależałoby od przekonania posiadacza kryptowalut do zainstalowania oprogramowania lub zaakceptowania fałszywej aktualizacji, ponieważ kompromitacja mogłaby zostać wywołana z wnętrza samego spotkania.
AI skróciło badania nad podatnościami Zoom do jednego dnia
Szybkość, z jaką odkryto luki w Zoomie, następuje również po kilku przypadkach, w których modele AI zostały użyte do przeszukiwania dużych systemów oprogramowania w poszukiwaniu słabości bezpieczeństwa.
W kwietniu Mozilla poinformowała, że wczesna wersja Claude Mythos od Anthropic zidentyfikowała 271 podatności w Firefoksie podczas testów wewnętrznych. Wszystkie zidentyfikowane błędy zostały naprawione, a Mozilla stwierdziła, że eksperyment pokazał, iż AI może badać duże bazy kodu i identyfikować problemy bezpieczeństwa w tempie, które w przeciwnym razie wymagałoby obszernego przeglądu przez ludzi.
Badania podatności Firefoksa nie wykryły błędów poza tymi, które mogliby odkryć wysoko wykwalifikowani badacze bezpieczeństwa, ale pokazały, jak można przyspieszyć ten proces.
Poprawki Zoom nadal wymagają aktualizacji od użytkowników
Firma A Security poinformowała, że zgłosiła pierwszą podatność Zoom 10 czerwca, dwa dni po jej odkryciu, i przeprowadziła proces ujawniania, podczas gdy przygotowywano poprawki.
Zoom wydał poprawki między 22 czerwca a 20 lipca, według badaczy. Według firmy aktualizacja aplikacji pozostała konieczna, ponieważ ochrona po stronie serwera zaprojektowana do blokowania złośliwych wiadomości nie mogła sprawdzić tej samej treści w spotkaniach z szyfrowaniem end-to-end.
Zoom osobno zaleca użytkownikom uruchamianie najnowszych wersji swojego oprogramowania, aby otrzymywać bieżące poprawki bezpieczeństwa i ulepszenia. Jego biuletyny bezpieczeństwa z lipca obejmowały również CVE-2026-53412, krytyczną podatność nieprawidłowej walidacji danych wejściowych wpływającą na Zoom Workplace dla systemu Windows, która mogła pozwolić nieuwierzytelnionemu atakującemu na przejęcie konta poprzez dostęp sieciowy.
Według A Security, Zoom załatał luki Zoomsday, ale użytkownicy korzystający ze starszych wersji aplikacji nadal muszą zaktualizować swoje klienty, ponieważ ochrona po stronie serwera nie może w pełni zablokować ataku.
