O Zoom corrigiu, nesta terça-feira (11), um conjunto de vulnerabilidades graves que permitiriam a um atacante assumir o controle total do dispositivo de qualquer participante durante uma reunião. O caso foi batizado de "Zoomsday" e chamou a atenção do setor menos pelo bug em si — que já foi corrigido — e mais por como ele foi descoberto: com "menos de 20 prompts" em modelos de IA públicos, segundo a empresa de defesa digital A Security, responsável pela investigação.
A falha estava no recurso de anotação do Zoom, aquele que permite desenhar sobre a tela compartilhada durante uma chamada. Ao explorá-la, um atacante podia entrar ou hospedar uma reunião e executar código malicioso nos aparelhos das vítimas — roubando dados, ligando câmera e microfone ou instalando malware. O pior: a ação não exigia nenhuma interação do alvo e acontecia de forma silenciosa, sem qualquer indicação de que algo estava errado.
O alcance era quase universal. As brechas afetavam todos os sistemas operacionais suportados pelo Zoom — Windows, macOS, Linux, iOS e Android — e o bug foi descoberto ainda em junho, quando os pesquisadores decidiram mirar um componente específico do protocolo usado na anotação em tempo real. "Sistemas convolutos e obscuros costumam concentrar vulnerabilidades negligenciadas", explicou a equipe, citando um padrão que caçadores de bugs humanos já conhecem bem: em software proprietário e fechado, funções complexas e pouco usadas raramente recebem o mesmo escrutínio público do código aberto.
O que mais preocupa os pesquisadores, porém, é a tese por trás do achado. "O que é interessante para nós — e acreditamos ser perigoso — é a democratização dessas capacidades; a barreira de entrada está caindo rapidamente", disse Omer Gull, cofundador da A Security. "Antes, seriam necessárias cinco pessoas e seis meses de trabalho para encontrar isso. Agora as pessoas chegam ao mesmo resultado com menos de 20 prompts." O Zoom emitiu um aviso de segurança na terça-feira e já começou a distribuir correções tanto no servidor quanto nos aplicativos.
O episódio é o exemplo mais recente de uma tendência que vem se consolidando: modelos de IA cada vez mais capazes de encontrar vulnerabilidades, desenhar exploits e até executar ataques autônomos. No caso do Zoom, o que antes era um exercício caro e demorado virou uma tarefa de minutos para quem souber fazer as perguntas certas. Isso não significa que todo mundo agora é um hacker — mas significa que o custo marginal de uma descoberta grave despencou. Quem mantém serviços críticos precisa encarar esse novo normal: a fila de bugs a corrigir cresce mais rápido do que a capacidade de auditar cada linha de código.
A indústria de videoconferência, em particular, vive uma relação delicada com a confiança. O Zoom é uma plataforma em que as pessoas "assumem confiança", nas palavras de Gull — ninguém imagina que entrar numa reunião seja um vetor de ataque. Depois do "Zoomsday", esse pressuposto ficou um pouco mais frágil. O que ninguém consegue responder ainda é quantos outros softwares de uso cotidiano escondem falhas equivalentes que jamais foram alvo de "20 prompts" bem escolhidos — e qual será o custo quando alguém as encontrar primeiro.
Fontes: The Verge, Wired, 9to5Mac, A Security
✓ Fontes independentes cruzadas e verificadas antes da publicação
