Les chercheurs ont démontré qu’une vulnérabilité critique dans Zoom, capable de prendre le contrôle d’un appareil sans un seul clic, pouvait être créée avec l’aide de l’IA en une seule journée.
Faites de nous votre source préférée sur
gsoitsoitgjeet
Une équipe de chercheurs a montré qu'un vulnérabilité dans Zoom capable de prendre le contrôle de l'appareil d'un autre participant à la réunion pourrait être construit avec l'aide de l'intelligence artificielle en une seule journée. La découverte, baptisée « Zoomsday », décrit des bugs qui ne nécessitent pas que la victime clique sur quoi que ce soit : il suffirait d'être dans l'appel pour être exposé.
Cette révélation arrive à un moment où la cybersécurité et les outils d’IA générative évoluent dans des directions qui commencent à se croiser de manière inconfortable. Le fait qu’un exploit d’un tel niveau de criticité soit assemblé en quelques heures, et non en quelques semaines, change le calcul des risques pour toute organisation qui dépend des appels vidéo pour fonctionner.
Ce que révèle la vulnérabilité de Zoom nommée Zoomsday
Selon le rapport technique publié par les chercheurs, la chaîne de pannes permettrait à un attaquant participant à une réunion d'exécuter du code et de prendre le contrôle de l'ordinateur d'un autre participant. Le point le plus délicat est l’absence d’interaction de la part de la victime : il n’est pas nécessaire de télécharger un fichier, d’ouvrir un lien ou d’accepter une autorisation. Le simple fait d’être connecté suffirait à ouvrir la porte.
Ce type d'attaque, connu dans le jargon de la sécurité sous le nom de « zéro-clic », est considéré comme l'un des plus dangereux car il élimine la principale ligne de défense qui fonctionne habituellement : la prudence de l'utilisateur. Lorsque la victime ne peut rien faire de mal, la responsabilité incombe entièrement à la robustesse du logiciel.
Le nom choisi, une pièce de théâtre sur « la fin du monde », cherche à souligner le potentiel de préjudice. Les plateformes de vidéoconférence comme Zoom servent des millions d’utilisateurs d’entreprises, de gouvernements et d’établissements d’enseignement, faisant de toute faille grave une cible attrayante pour les acteurs malveillants.
L'IA réduit les temps d'attaque
Le fait le plus inquiétant n’est pas la panne elle-même, mais la rapidité avec laquelle l’outil a été construit pour l’exploiter. Développer un exploit fonctionnel à partir de vulnérabilités complexes nécessite généralement des connaissances spécialisées et un travail soutenu sur plusieurs jours ou semaines. Le fait que ce processus soit réduit à une seule journée avec l’aide de modèles d’IA suggère que la barrière à l’entrée pour l’attaquant avancé diminue.
Ce n'est pas un cas isolé. L'automatisation offensive utilisant des agents d'IA a déjà laissé des signes concrets : il a été récemment documenté comment un agent d'IA a piraté le site Web d'une salle de sport en Australie fonctionnant de manière autonome, un épisode qui a sonné l'alarme sur ce que ces systèmes peuvent faire sans supervision humaine directe.
Le débat sur le rôle de l’IA dans la sécurité présente des aspects contradictoires. Les mêmes modèles qui accélèrent la création d’exploits servent également à auditer le code, à détecter les failles et à renforcer les défenses. Dans l’industrie de la crypto, où les logiciels gèrent directement l’argent, le débat sur l’accès à ces outils est déjà sur la table : des sociétés comme Coinbase, Strategy et Blockstream ont soutenu une lettre en faveur de l’accès à l’IA après le blocage d’un chercheur Bitcoin.
Pourquoi c'est important pour l'écosystème crypto
Bien que Zoom ne soit pas une plateforme de cryptographie, l’implication pour le secteur est directe. Une bonne partie des opérations des projets, des fonds et des équipes de développement se déroule lors d'appels vidéo où sont discutés les clés, les stratégies, les adresses de portefeuille et les détails de la trésorerie. Un attaquant contrôlant l'appareil d'un cadre ou d'un développeur pourrait accéder à des informations sensibles, des informations d'identification ou même à ses propres fonds.
L'histoire récente montre que les vecteurs d'attaque contre les équipements de cryptographie commencent généralement par l'ingénierie sociale et la compromission d'appareils individuels, plutôt que par la rupture de la cryptographie d'une chaîne. De fausses offres d'emploi, de fausses réunions et des logiciels d'appel vidéo manipulés ont été la porte d'entrée de plusieurs incidents de vol de fonds documentés ces derniers mois.
Les recommandations de base pour réduire l’exposition restent les mêmes que toujours, mais elles gagnent en poids face aux échecs sans clic :
- Gardez le client Zoom et le système d'exploitation toujours à jour avec les derniers correctifs.
- Limitez les réunions aux participants vérifiés et utilisez les salles d’attente.
- Évitez de discuter d’informations critiques (clés privées, phrases de départ ou accès) lors d’appels vidéo.
- Isolez les équipements utilisés pour les opérations sensibles des comptes professionnels quotidiens.
Zoom répond généralement à ces types de divulgations avec des mises à jour de sécurité, et la pratique standard de l'industrie veut que les chercheurs signalent les bogues de manière responsable avant de les rendre publics. L'épisode fonctionne moins comme une alarme sur une application spécifique que comme un aperçu de ce qui va arriver : l'offensive alimentée par l'IA réduit le temps entre la découverte d'un bug et son exploitation, ce qui oblige la défense à fonctionner à la même vitesse.