Zoom corrige une faille critique exploitable via l'IA en moins de 20 requêtes

Une faille critique dans Zoom permettait de prendre le contrôle des appareils des participants à une réunion via l’IA, avec moins de 20 requêtes.

Des chercheurs en sécurité ont exploité une vulnérabilité dans la fonction annotation de Zoom pour exécuter du code malveillant sur les machines des victimes. L’attaque, nommée Zoomsday par les médias, ne nécessitait aucune action de la part des utilisateurs ciblés. Une fois l’exploitation réussie, un attaquant pouvait voler des données, activer la caméra ou le microphone, ou installer des logiciels malveillants. La faille a été corrigée par Zoom dans une mise à jour récente, mais son mode opératoire met en lumière les risques liés à l’automatisation des attaques via l’intelligence artificielle.

L’exploitation repose sur l’envoi de requêtes à des modèles d’IA publics pour identifier et exploiter la vulnérabilité. Les chercheurs ont démontré que cette méthode réduisait considérablement la complexité technique nécessaire pour mener une attaque, passant d’un processus manuel long à une automatisation rapide. Le vecteur d’attaque exploite une fonctionnalité conçue pour faciliter la collaboration, mais qui, en cas de faille, devient un point d’entrée critique pour les cybercriminels.