cpu-data.info

- Pekan lalu, Zoom menambal celah keamanan berbahaya yang memungkinkan peretas (hacker) menyamar sebagai akun bisnis dari sebuah perusahaan dengan mengirim undangan ke sebuah "rapat palsu".

Karena menyamar seakan sebagai orang dalam, oknum yang tidak bertanggung jawab pun bisa menggali aneka data sensitif dari para karyawan di suatu perusahaan yang menjadi target hacker lewat ruangan meeting Zoom.

Sebelum ditambal, celah keamanan ini sendiri pertama kali ditemukan oleh firma keamanan siber CheckPoint.

Berdasarkan penelusuran mereka, peretas bisa dengan mudah membuat tautan (link) ruangan meeting Zoom dengan embel-embel nama atau merek sebuah perusahaan. Metode seperti ini lumrah disebut dengan "Vanity URL".

Baca juga: Mirip Zoom, Facebook Messenger Kini Punya Fitur Screen Sharing

Misalnya, tautan ruangan Zoom dengan alamat URL "https://zoom.us/j/abcdefgh1234" bisa ditambahkan dengan nama perusahaan atau merek yang dituju para peretas. Isi alamat URL-nya nanti kira-kira bakal seperti ini: "https://namaperusahaan.zoom.us/j/abcdefgh1234".

Kendati dibubuhi nama perusahaan, ruangan meeting tersebut, menurut CheckPoint, bisa diakses dengan normal tanpa ada hambatan.

Dengan demikian, penerimanya pun bisa mengira seolah meeting palsu itu memang diselenggarakan pihak perusahaan, padahal pengundangnya adalah orang yang berniat jahat.

"Tanpa pengetahuan tentang keamanan siber dan alamat URL palsu, pengguna yang menerima tautan Zoom mungkin akan mengira bahwa undangan tersebut asli," ujar pihak CheckPoint, dikutip KompasTekno dari TheNextWeb, Rabu (22/7/2020).

Ruangan rapat "buatan"

Selain lewat Vanity URL, celah keamanan Zoom lain yang ditemukan CheckPoint juga memungkinkan peretas untuk memanipulasi peserta untuk masuk ke ruangan rapat "buatan" yang berbahaya.

Sebelum masuk ke ruangan meeting, para korban bakal disodori sebuah situs yang menyerupai laman asli Zoom terlebih dahulu, lengkap dengan tombol untuk masuk (join) ke dalam meeting dan lain sebagainya.

Baca juga: Begini Cara Mute Mikrofon Otomatis di Zoom saat Gabung Rapat

Lantaran palsu, ketika meng-klik tombol "join", korban pun bisa memasukkan ID meeting dengan bebas, baik itu yang sudah dibuat maupun belum, dan anehnya bisa masuk ke sebuah ruangan rapat virtual Zoom.

"Peretas bisa mengundang korban untuk bergabung dalam sesi Zoom melalui situs buatan khusus, dan korban bisa jadi tidak akan sadar bahwa undangan tersebut sebenarnya tak dibuat oleh perusahaan yang sah," jelas pihak CheckPoint. 

Meski sudah ditambal, belum diketahui apakah kedua celah keamanan ini sempat diekspolitasi oleh oknum tak bertanggung jawab atau tidak.