Zoom vient de corriger une importante faille de sécurité qui pouvait permettre à un attaquant de prendre le contrôle de l’appareil d’un participant pendant une réunion. Baptisée « Zoomsday », cette vulnérabilité aurait été identifiée grâce à l’aide de modèles d’intelligence artificielle accessibles au grand public.

Des chercheurs de l’entreprise de cybersécurité A Security expliquent avoir réussi à mettre au point l’attaque avec moins de vingt requêtes adressées à des modèles d’IA disponibles publiquement, selon des informations rapportées par Wired.

Une attaque pouvant compromettre les appareils

La vulnérabilité se trouvait dans la fonctionnalité d’annotation de Zoom, qui permet aux participants de dessiner ou d’ajouter des éléments directement sur un écran partagé.

En exploitant cette faille, un attaquant pouvait rejoindre ou organiser une réunion et parvenir à exécuter du code malveillant sur les appareils des autres participants.

Les conséquences potentielles étaient particulièrement importantes. L’attaquant pouvait notamment tenter de voler des données, activer la caméra ou le microphone, ou installer des logiciels malveillants.

Plus inquiétant encore, la victime n’avait pas besoin de cliquer sur un lien ou d’effectuer une quelconque action pour être ciblée. Les chercheurs indiquent également qu’aucun signal visuel ne permettait de détecter immédiatement la compromission.

Une attaque développée en une seule journée grâce à l’IA

Selon A Security, la découverte illustre surtout l’évolution des capacités offertes par les outils d’intelligence artificielle dans le domaine de la cybersécurité.

Les chercheurs affirment qu’un exploit fonctionnel de ce niveau aurait auparavant nécessité des équipes spécialisées, plusieurs mois de travail et des moyens considérables.

Cette fois, les chercheurs expliquent avoir obtenu un résultat exploitable en une seule journée, en combinant un agent d’IA avec plusieurs modèles accessibles au public.

Cette évolution pourrait faciliter la découverte de vulnérabilités, mais également réduire la barrière technique pour des personnes souhaitant exploiter des failles informatiques.

Zoom déploie une mise à jour

Zoom a publié un correctif mardi afin de supprimer la vulnérabilité.

Le problème concernait l’application sur Windows, macOS, Linux, Android et iOS.

Les utilisateurs sont donc invités à maintenir leur application à jour afin de bénéficier du correctif de sécurité.

Cette affaire illustre surtout un nouveau défi pour l’industrie technologique : alors que l’intelligence artificielle peut aider les entreprises à renforcer leurs défenses, elle peut également permettre de découvrir et d’exploiter plus rapidement des failles qui auraient auparavant demandé beaucoup plus de temps et de compétences.