Тролли выбрали мишенями видеоконференции в школах и вузах
— Мы проводили международный семинар в Zoom, но к нам ворвались хакеры, перечеркивали презентации, хотели запустить порноролик. Мы с шоком справились, перешли на новый Zoom, но многие уже не смогли подсоединиться. Кому это надо и как уберечься?
«РГ» в «Лаборатории Касперского» и «Фонде развития интернета» подтвердили: их эксперты обнаружили и передали в СК России свыше тридцати (цифра меняется в сторону роста — В.Е.) учетных записей в Instagram и «ВКонтакте», где тролли собираются, делятся ссылками на чужие видеоконференции и планируют новые «бомбы». Себя они называют «зумбомберы», а их хакерские атаки на удаленную работу или дистанционную учебу IT-спецы прозвали «зумбомбинг» (Zoom bombing — англ. — бомбежка). Приложение Zoom стало мишенью для атак и нападок одним из первых в силу своей открытости. Подключение к видеоконференции часто доступно всем. Так в Саратове, Калуге и Южно-Сахалинске зумбомберы атаковали онлайн-уроки в школах порнороликами и руганью. СК РФ возбудил уголовные дела, но хакеры не сдаются. Они меняют методы — регистрируются на закрытых площадках.
— Недавно на лекции группа зарегистрировались только под именами, — рассказывает доцент кафедры маркетинга и рекламы РГГУ Анна Голова. — Я не всех знаю на заочном отделении, поэтому разрешила. И поплатилась. Начался «клин» — одна часть подняла шум, другая вместо аватаров участников выставила грязные картинки, третья начала бан презентаций.
И хотя студенты быстро помогли преподавателю перерегистрироваться, эксперты признают: зумбомбинг все чаще мешает жить. Примыкающая к погромам проблема — спам или «беззубый зумбомбинг». Избежать его просто — заранее обговорить регламент выступлений, запретив спам, и попросить техподдержку платформы удалять мусор.
— Против атак зумбомберов есть ряд шагов, — говорит эксперт «Лаборатории Касперского» Сергей Голованов. — Вход только по регистрации, «зал ожидания» открыть не более чем за 7-10 минут, не пускать группы — тролли идут группой, не оставлять ссылки на видеоконференции в публичном доступе. Хотя эти меры — не панацея. Хакеры создали несколько программ, которые угадывают коды доступа к конференциям в Zoom. За день они могут получить доступ к 10-30 трансляциям, за неделю — до ста.
Тут техспецы расходятся в рекомендациях. В «Лаборатории Касперского» советуют делать конференции приватными, то есть платными, поскольку защищенные паролем комнаты программа не обнаружит. Но эксперты признают, что на чатах наметилась критика с мест, когда крики ломают видеочат. В «Фонде развития интернета» проблему называют «обратной демократией» и считают, что над системой организации обратной связи надо работать, — думать над тем, как технически дать слово несогласным. Иная позиция у компании CEO Eventicious.
Против атак зумбомберов есть ряд шагов: вход по регистрации, «зал ожидания» открыть за 7-10 минут, не пускать группы
— Мы используем решение на базе webinar, — говорит координатор компании CEO Eventicious Руслан Демьяненко. — Это когда организатор решает, кто будет спикером, а кто зрителем без права голоса. Тогда просто так выйти в эфир у пранкера не получится. Тоже самое со звонками. Платформа не дает прямой доступ к Zoom-звонку, где общаются спикеры.
Демократия видеотрасляции, как считают в CEO Eventicious, от вседозволенности отличается тем, что организаторы делают просмотр доступным только для тех, кто есть в списке участников с подтверждением по SMS или электронной почте.
Комментарий
Владимир Кудрявцев, доктор психологических наук, профессор МГППУ:
— Мы дожили до времен, когда то, что писали на заборах, пишут в интернете. «Это лекция — фуфло, а лектора — «на мыло». Обидно, но что делать, если в онлайн пришел тролль? Первое. Тоже, что делают, когда кто-то дебоширит в офлайне. Вызывают охрану и выпроваживают вон. Также должно быть в онлайн-формате. Для этого нужны грамотные технические специалисты, чтобы оперативно перекрыть троллю доступ к конференции. Второе сложнее — демократизировать наше сознание: отрезать тролля от сети на его условиях и впускать на наших. На заборах, случается, тоже пишут полезное.
Что такое зумбомбинг?
Многие люди, перешедшие во время карантина на удаленную работу или учебу, для видеоконференций используют программу Zoom. Из-за ряда уязвимостей сервис часто подвергается хакерским атакам. Одна из них получила название «зумбомбинг» («Zoom bombing») — явление, когда неизвестный вклинивается в чужую беседу и может, например, отправить какой-то неприличный файл всем участникам видеоконференции.
Статья по теме
Как работает зумбомбинг?
Подключиться к видеоконференции можно по ссылке. Хакеры ищут ссылки на онлайн-собрания, которые пользователи размещают в открытом доступе. Подключившись к чужой беседе, они демонстрируют всем участникам видеозаписи хулиганской направленности, с насилием или порнографией.
Журналисты The New York Times нашли более 150 учетных записей в Instagram и других соцсетях и форумах, где Zoom-хулиганы собираются, обсуждают свои атаки и делятся ссылками на чужие видеоконференции.
Zoom bombing стал особенно частым явлением в период пандемии коронавируса, когда многие школы стали пользоваться программой Zoom для проведения онлайн-уроков. Например, в начале апреля в процессе видеоконференции в одной из саратовских школ неизвестный во время онлайн-урока включил порнографический ролик. По факту происшествия 13 апреля Следственный комитет возбудил уголовное дело по п. «б» ч. 3 ст. 242 УК РФ (публичная демонстрация и рекламирование порнографических материалов среди несовершеннолетних). Похожие случаи происходили во время онлайн-уроков у школьников в Калуге и в Южно-Сахалинске.
Как избежать зумбомбинга?
Прежде всего не оставлять ссылки на видеоконференции в публичном доступе, тогда злоумышленникам будет труднее их получить. Но и это не панацея. Как сообщало издание The Verge, эксперт по кибербезопасности Брайан Кребс создал программу, которая автоматически угадывает коды доступа к конференциям в Zoom. За час он смог получить доступ к 100 трансляциям, а за день просканировал информацию почти о 2 400 чатах. В Zoom, в свою очередь, тогда порекомендовали делать конференции приватными, поскольку защищенные паролем комнаты программа обнаружить не может.
22 апреля вышло обновление — Zoom 5.0. Как сообщили в блоге Zoom, в новой версии программы были исправлены ряд проблем безопасности. В частности, функция «Зал ожидания», когда участники находятся в отдельных виртуальных комнатах, будет включена по умолчанию для учетных записей Pro с базовыми правами и образовательных учреждений. Это, как рассчитывают в Zoom, должно помочь избежать случаев зумбомбинга.
Какие еще уязвимости есть у сервиса Zoom?
Сервис в последнее время часто критикуют за обилие уязвимостей в программе. В конце марта издание Motherboard писало, что приложение Zoom для iOS отправляло аналитические данные в Facebook, даже если у пользователя не было учетной записи в соцсети. Приложение, в частности, предоставляло соцсети информацию о времени запуска, часовом поясе, мобильном операторе и ряд других данных. Все эти данные можно было использовать для таргетирования рекламы. После вызванного резонанса в Zoom выпустили обновление, заявив, что удалили код, передававший информацию Facebook.
31 марта новостное издание The Intercept рассказало, что видеозвонки в Zoom не защищены сквозным шифрованием (end-to-end, E2E), в то время как в компании заявляли, что шифруют диалоги. На практике выяснилось, что Zoom использует TLS-шифрование. Оно кодирует данные не между пользователями, а между сервером и пользователем. Таким образом, компания могла иметь доступ к незашифрованному видео и аудиоконтенту.
В начале апреля в The Washington Post появилась информация, что в открытом доступе оказались записи более чем 15 000 конференц-звонков, совершенных с помощью Zoom. Кроме того, выяснилось, что Zoom может автоматически добавлять пользователей в контакты друг к другу без их ведома.
В начале апреля компания Google запретила своим сотрудникам устанавливать программу на рабочие компьютеры из-за проблем с безопасностью. По этой же причине от использования Zoom отказались и другие крупные компании, в частности SpaceX и Apple.
Зумбомбинг: как обезопасить ивент от кибер-хулиганства
Зумбомбинг как явление обозначился всего месяц назад, но уже порядком испортил нервы организаторам мероприятий. Что делать, если в чате кто-то оскорбляет участников онлайн-мероприятия или мешает спикерам? Как настроить мероприятие в Zoom, чтобы оно стало безопасным? И как реагировать на троллинг, спам и агрессивную критику?
Зумбомбингом (англ. zoombombing) называют атаку на онлайн-мероприятия с целью сорвать его или хотя бы смутить участников. Кибер-хулиганы врываются в видеочаты, выкрикивают оскорбления, демонстрируют шокирующие видеокадры и мешают общению в чатах. Хотя термин связан с сервисом Zoom, проблема касается всех организаторов, независимо от платформы, которую они используют.
Чаще всего подобные ситуации происходят на онлайн-уроках. Например, в начале апреля в процессе видеоконференции в одной из саратовских школ неизвестный во время онлайн-урока включил порнографический ролик. Похожие случаи происходили во время онлайн-уроков у школьников в Калуге и в Южно-Сахалинске. Часто происходящее фиксируется и затем появляется в соцсетях, один такой видеоролик собрал более 4,2 млн просмотров и вдохновило целую толпу подражателей.
Анна Голова, Доцент кафедры маркетинга и рекламы ИЭУП РГГУ, заместитель заведующего кафедрой по научно-исследовательской работе:
Все семинары и лекции уже два месяца веду на Zoom и проблем не было. Но недавно во время лекции на площадке появилось несколько человек, зарегистрированных только с именем. Поскольку не всех знала обучающихся на заочном отделении, и к лекции подключаются неодновременно, сразу не среагировала. Сначала был шум, потом появились неприличные картинки вместо аватаров участников. Помогли сориентироваться студенты, быстро удалили диверсантов, и я закрыла конференцию.
Другой мишенью зумбомберов стали конференции представителей религиозных сообществ и разнообразных меньшинств. Случаются подобные инциденты и на крупных онлайн-событиях, например, на вебинаре ассоциации PCMA (Professional Convention management Association): один из участников долго пытался уточнить, каким образом можно отправить свое сообщение так, чтобы его увидело как можно больше людей, а после получения добросовестной инструкции от других участников (и даже организаторов!) заполнил чат расистскими оскорблениями. Специалист по стратегиям цифровых ивентов Кейтилин О’Мэйли призналась, что ей понадобилось всего семь секунд, чтобы заблокировать злоумышленника, но эти мгновения показались ей вечностью.
Спортивный интерес и слабая защита – почему Zoom небезопасен
Зумбомберы используют слабые места безопасности сервисов и даже объединяются в сообщества, делясь между собой идеями атак и ссылками на незащищённые мероприятия и планируя совместные рейды. Журналисты New York Times насчитали сотни групп по теме зумбомбинга в социальных сетях, аналогичные обсуждения на форумах Reddit и 4Chan насчитывают тысячи сообщений. В России зумбомберы осели на форуме Двач.
Незащищённые ссылки на мероприятия (по ним любой желающий может подключиться к ивенту) нетрудно найти в поисковиках по URL-адресам, включающим «Zoom.us». Некоторые злоумышленники даже подбирают ссылки доступа вручную, но и это не обязательно – открытые ссылки с доступом на публичные «встречи» то и дело можно увидеть в социальных сетях на страницах учреждений и организаций.
Основатель и генеральный директор Zoom Эрик Юань в своем блоге извинился за то, что компания не предусмотрела возможность подобных атак. «Мы не рассчитывали, что абсолютно каждый человек в мире вдруг начнет работать, учиться и общаться дома», — написал он в своём блоге и анонсировал ряд нововведений для защиты безопасности онлайн-мероприятий. Event LIVE собрал все рекомендации ZOOM для настройки безопасного от кибер-налётов Zoom-ивента:
Как уберечь свой ZOOM-ивент от злоумышленников?
- Создавайте уникальный идентификатор
Создавая ID для своих мероприятий в Zoom, не используйте свой личный идентификатор (PMI, Personal meeting ID). Отключите эту функцию и каждый раз генерируйте уникальный ID для нового мероприятия. На странице поддержки Zoom есть пошаговое руководство в формате видео.
- Сделайте ваше мероприятие приватным, назначьте ко-модератора
Как только все ожидаемые участники подключатся к мероприятию, закройте доступ к нему для посторонних пользователей и назначьте по крайней мере двух модераторов (Hosts). Если один из модераторов потеряет контроль над ситуацией, второй сможет ему помочь. Чтобы сменить модераторов, перейдите в раздел Settings к панели Meeting, прокрутите до пункта Co-host и активируйте функцию. Подтвердите своё решение, если того потребует сервис (Turn on).
Пароль для мероприятия, который автоматически генерируется Zoom, не позволит незваным пользователям присоединиться к вашему мероприятию, даже если у них есть ссылка на собрание.
- Используйте новую функцию – «Зал ожидания»
«Зал ожидания» – это виртуальная буферная зона, куда попадают все подключающиеся по открытой ссылке участники. Организаторы могут позволить ему присоединиться к мероприятию или отказать в доступе. Иногда Zoombombers используют знакомые имена, поэтому будьте осторожны, чтобы подтвердить личность человека, попросив его включить камеру. Видеоинструкцию о том, как работает функция, можно увидеть на YouTube.
- Сделайте все возможные функции неактивными для участников мероприятий
Помните, что злоумышленники могут использовать каждую функцию Zoom для своих целей. Так они могут присоединиться к модератору (Join Before Host), сделать видимым свой экран для других участников, устанавливать виртуальный фон и передавать различные файлы и даже сохранять переписку из чатов. Все эти функции можно сделать недоступными для участников кроме модераторов в разделе Settings, а запретить участникам делиться изображениями со своего экрана можно, перейдя по очереди в разделы Host controls > Share Screen > Advanced Sharing Options > Who can share? и выбрать Only hosts).
- Не делитесь ссылкой или ID мероприятия Zoom в социальных сетях
Не выкладывайте ссылку на мероприятие на страницах своей организации в социальных сетях: злоумышленники могут найти их случайно или с помощью специальных скриптов. Вместо этого, анонсируя своё мероприятие, публикуйте адрес электронной почты, куда потенциальные участники могут обратиться за прямой ссылкой.
«Купи гараж» и «спикер – фуфло»: как зумбомбят в России
Следует заметить, что в России организаторы деловых мероприятий реже доверяют свои события сервису Zoom и чаще стараются провести ивент на специализированных платформах, либо создают свои собственные.
Руслан Демьяненко, CEO Eventicious:
Мы слышали истории о нападении хулиганов от организаторов мероприятий. На мероприятиях, где за трансляцию отвечали мы, таких случаев не было. Мы используем решение на базе ZOOM Webinar. От обычного ZOOM для конференций это решение отличается тем, что организатор определяет, кто будет спикером, а кто зрителем без права голоса. Просто так подключиться и выйти в эфир у пранкера не получится. Также наша платформа не предоставляет прямой доступ к Zoom-звонку, где общаются спикеры. В нашем мобильном приложении и в веб-версии по умолчанию вы смотрите «ретрансляцию» в режиме слушателя. Более того, для доступа к этой ретрансляции необходимо авторизация на платформе. Большинство организаторов делают просмотр доступным только для тех, кто есть в списке участников с подтверждением по SMS или email. Это ещё больше усложняет троллям доступ к мероприятию. Кстати, Zoom уже выпустил обновление улучшающую ситуацию с безопасностью, кроме того даже в старой версии были опции, позволяющие существенно снизить вероятность таких неприятностей, просто многие либо не знали про эти опции, либо ленились их включать. Что сделать организаторам, если в онлайн пришёл тролль? А что делают, когда кто-то дебоширит на офлайн мероприятии? Вызывают службу охраны и выпроваживают вон, так же и в онлайн-формате. Для этого в команде должен быть грамотный технический саппорт, чтобы оперативно перекрыть троллю доступ к конференции.
Куда чаще российские организаторы сталкиваются не с целенаправленной агрессией в сторону каких-то участников или спикеров, а со спамом – прямой рекламой своих услуг зрителями мероприятия. Для такого «беззубого» зумбомбинга участникам не нужно менять виртуальный фон или обмениваться гифками – заспамить чат можно и обычным текстом. Чтобы избежать хаоса в чате, будет правильным заранее составить регламент с рекомендациями для участников, в котором в числе прочих будет запрет на спам и попросить техподдержку платформы оперативно удалять подобные сообщения.
Порой и на офлайн мероприятиях встречаются чересчур активные участники, которые пытаются спорить со спикерами и выкрикивают что-то во время выступления из зала. В онлайн-формате это проявляется ярче из-за обезличенного подхода к общению и состояния стресса, близкого сегодня многим. Участники не всегда осознают, что их критика в формате вроде «Доклад – полная шляпа, спикер – фуфло» может кого-то обидеть. В подобной ситуации спикеры часто никак не реагируют на негатив, а ведь и такую обратную связь можно использовать на пользу своему авторитету.
Если комментарии представляют собой не троллинг, а агрессивную критику, спикер может попросить организаторов подключить автора сообщения к прямой трансляции. Спросив у хейтера, кто он, чем занимается, чем конкретно недоволен, метко ответив на комментарий, либо отшутившись, спикер или модератор может укрепить свой авторитет и заслужить больше одобрения со стороны участников. Неважно, какую роль вы исполняете на онлайн-мероприятии, если вам всё-таки пришлось столкнуться с зумбомбингом или хейтом, помните, что участникам и самим неловко видеть неадекватное поведение других пользователей, а значит, они обязательно встанут на вашу сторону и постараются вам помочь.
Кстати, мы проанализировали другие ключевые проблемы онлайн-мероприятий и постарались найти для них решения.
Материал подготовлен эксклюзивно для Event LIVE. При перепечатке или цитировании активная, открытая для индексации гиперссылка на страницу с публикацией обязательна. Фото: Pixabay.comCC0 PublicDomain. Бесплатно для личного и коммерческого использования. Не требуется атрибуции. Указанная точка зрения может не совпадать с точкой зрения редакции, а равно и с мнением третьих лиц, включая иных специалистов. Редакция не несет ответственности за недостоверность предоставленных авторами данных и любые возможные убытки, понесенные лицами в результате применения публикуемых заключений и следования таким рекомендациям.
Исследование зумбомбинга утверждает, что контрмеры эффекта не дают
Пандемия COVID-19 вынудила школы, университеты и предприятия перевести встречи с учениками и сотрудниками в онлайн; мир освоил видеоконференцсвязь с помощью таких сервисов, как Zoom и Google Meet. Онлайн-встречи нередко страдают от зумбомбинга — явления, когда посторонние присоединяются к конференции и срывают ее. Сервисы видеосвязи приняли различные меры противодействия, но новое исследование показало, что большинство из них неэффективны.
Наиболее часто используемые контрмеры включают в себя защиту встреч паролем, использование залов ожидания, чтобы организаторы конференции могли проверить тех, кто пытается присоединиться к встрече, и советы участникам не публиковать ссылки на конференции на публичных форумах. Проблема этих подходов в том, что они предполагают неправильную модель зумбобминга.
Одно из распространенных предположений состоит в том, что срывы видеоконференций организовываются посторонними лицами, которые не знают подробностей встречи. Исследователи из Бостонского университета и Бингемтонского университета изучили призывы к зумбомбингу, размещенные в социальных сетях за первые семь месяцев прошлого года, и обнаружили, что в большинстве случаев это не так. В статье под названием «Первый взгляд на зумбомбинг» исследователи написали:
«Наши результаты показывают, что подавляющее большинство призывов к зумбомбингу исходят не от случайных злоумышленников, а от инсайдеров, имеющих законный доступ к этим конференциям, особенно от учащихся средней школы и колледжей. Это делает неэффективными обычные средства защиты от зумбомбинга, включая защиту паролем. В некоторых случаях инсайдеры инструктируют злоумышленников использовать имена одноклассников, чтобы избежать обнаружения, что снижает эффективность таких контрмер, как создание зала ожидания».
Исследователи пришли к своим выводам, проанализировав сообщения в Twitter и 4chan.
Зумбомбинг стал проблемой для многих учреждений, которые были вынуждены перейти на видеосвязь. В апреле американские правоохранительные органы признали взлом онлайн-конференций не пранком, а федеральным преступлением, за которое предусмотрен штраф или тюремное заключение.
Контрмеры не работают должным образом или вообще не работают, когда зумбомбинг организован инсайдерами. Даже предоставление уникальной ссылки для каждого участника не остановит зумбомбинг, если сервис позволяет нескольким людям присоединиться по одной и той же ссылке.
«Лучшим средством защиты является предоставление каждому участнику персонализированной ссылки на собрание. Таким образом, пока инсайдер подключается к конференции, неавторизованные лица не смогут подключиться по той же ссылке. На момент проведения исследования только Zoom и Webex ввели опцию персонализированных ссылок. В частности, Zoom требует, чтобы участники вошли в систему, и проверяет, совпадает ли уникальная ссылка с той, которая была отправлена на электронную почту участника. Мы призываем другие платформы принять аналогичные меры для защиты конференций от угроз», — заключили исследователи.
- Социальные сети и сообщества
- Видеоконференцсвязь