新たに公表されたZoomの脆弱性は、暗号資産ユーザーの間で改めてサイバーセキュリティの懸念を引き起こしている。特に、ビデオ会議に使用するコンピューターと同じ端末でデジタル資産を管理しているユーザーにとって懸念は大きい。

「Zoomsday」と名付けられたこのエクスプロイトは、悪意ある会議参加者が、対象となる参加者のクリックやその他の目に見える操作を一切必要とせずに、そのデバイスの制御を奪う可能性がある。ゼロクリックエクスプロイトは、ユーザー防御の最も一般的な層である「クリック前の注意」を迂回できるため、特に危険である。これは暗号資産ユーザーにとって特有のリスクをもたらす。侵害されたコンピューターは、ブラウザセッション、認証情報、ローカルに保存されたウォレットデータを露呈する可能性があるからである。ただし、攻撃者がZoomsdayを悪用して具体的に暗号資産を盗んだという信頼できる報告は現時点ではない。

サイレントなデバイス乗っ取り

サイバーセキュリティ企業A Securityの研究陣は、Zoomのリアルタイム注釈システム内にこの欠陥を特定した。研究陣によれば、公開されているAIモデルを用いて20回未満のプロンプトで実用的なエクスプロイトを開発したという。

この攻撃により、会議参加者が別の参加者のデバイス上で悪意あるコードを実行できる可能性がある。また、被害者側に明確な視覚的警告や操作がなくても侵害が発生する可能性があることを研究陣は指摘した。

この脆弱性はWindows、macOS、Linux、Android、iOSにまたがるZoomアプリケーションに影響を及ぼしていた。Zoomはその後、該当ソフトウェアのパッチをリリースした。パンデミックの際、ビデオ会議プラットフォームは企業およびコンシューマー向け利用へと急速に拡大し、研究者と攻撃者の双方にとって攻撃対象領域を拡げた。しかし、普及のスピードはユーザーがパッチを適用するスピードと常に一致しているわけではなく、修正プログラムが利用可能になった後も長く続く露出の期間が残されている。

暗号資産ユーザーが直面する高まるリスク

暗号資産の投資家にとって、懸念はZoomアプリケーション自体の枠を大きく超える。デバイスの侵害に成功すれば、攻撃者は金融サービスへのアクセスに使用されるブラウザアカウント、パスワードマネージャー、その他の機密情報を標的にする足掛かりを得る可能性がある。

デジタル資産のユーザーは、パーソナルコンピューター上に取引所アカウント、ウォレット拡張機能、認証ツールを頻繁に維持している。そのため、デバイスレベルの侵害は、攻撃者が元のZoom脆弱性を超えて拡大する機会を作り出す可能性がある。暗号資産分野では、クリップボードマルウェアによるアドレスの差し替え、悪意のあるブラウザ拡張機能、認証情報のフィッシングキャンペーンなど、エンドポイントレベルの侵害に起因する損失が繰り返し報告されている。ハードウェアウォレットは、秘密鍵が一般的にコンピューターから隔離されたままとなるため、露出を低減できる。ただし、攻撃者がアカウントの制御を奪ったり、侵害されたデバイスを通じて取引を操作したりする場合には、すべてのリスクを排除するものではない。

Zoomユーザーの最優先事項は、最新の利用可能なアップデートをインストールし、パッチが適用されていないデバイス上で機密性の高い金融活動を行わないことである。

Zoomsdayはまた、暗号資産業界が直面するより広範な課題を浮き彫りにしている。AIが高度な脆弱性研究を加速・民主化するにつれて、攻撃者はユーザーとデジタル資産の間に位置するデバイスを標的とする新たな経路を獲得する可能性がある。