信用できないZoomの公開ミーティングは、クリックしてはだめです！絶対に

信用できないZoomの公開ミーティングは、クリックしてはだめです！絶対に

WEB会議アプリZoomの脆弱性が多数指摘されています。

もっとも不安なのは、Windowsクライアントのチャットサービス内でURLをハイパーリンクに変換する方法の脆弱性（IPA/Zoomの脆弱性対策について）。

ハッカーがあなたのWindowsのログイン認証情報を集め、あなたのパソコンにリモートアクセスできる可能性があるのです。

Zoomがこれを完全に修正するまでは、信用できない人からのURLをクリックしたくなる気持ちを抑えてください。

信用できない人とは、つまりコロナ禍のせいで自宅にいて退屈を紛らわそうとあなたが参加しているZoomの公開ミーティングすべてになります。

Zoomは、インターネットのURLとUNC（universal naming convention）パスの両方を一般的なハイパーリンクへと変換します。

UNCパスというのは、たとえば「C:\Users\Public」のようなものです。

クリックひとつで、Windowsはリモートのファイルへアクセスするために、これらUNCのハイパーリンクを開けようとします。

これによって、コンピューターのユーザーネームとパスワードハッシュ（基本的にはユーザーのパスワードを含むコードの寄せ集め）が向こう側にいる誰にでも見えるようになってしまいます。

パスワードハッシュは、簡単に入手できるソフトウェアを使って復号できるのです。そうすると、あなたのパソコンやネットワークをリモートでアクセスすることが可能になってしまいます。

Zoomがこの問題の修正に取り組んでいることを願いますが、現時点では不明です。

でも、とりあえずセキュリティを守る応急措置がひとつあります。ただし、設定は面倒ですが。

それよりも良い方法は、チャットに現れるリンクに気をつけることです。「\\uhoh.com.tk\images\awesome.jpg」のような、サーバーのリンクに見えるものはクリックしないように。

慣れていない人には、別のウェブサイトのハイパーリンクのように見えるかもしれません。

でも、実はそうではなく、SMBを通じてリモートサーバーとWindowsと接続しようとします。つまりパスワード攻撃への扉が開いてしまうことになります。

このようなリンクは、ユーザーのコンピューターにあるアプリケーションを起動するのにも使えるのです。少なくともアプリケーションが始動する前にポップアップの警告は出ます。