'Opnames Zoom-gesprekken online te vinden, accounts verkocht via dark web'

Videogesprekken die met de videodienst Zoom zijn gemaakt en zijn opgenomen, zijn gemakkelijk door iedereen te vinden op internet. Ook blijken gehackte accounts te koop te worden aangeboden.

De videodienst, die tot voor kort alleen door een klein aantal bedrijven werd gebruikt, is door maatregelen om de verspreiding van het coronavirus in te dammen sinds een paar weken razend populair. Dat leverde ook meer aandacht op voor de manier waarop het bedrijf met gebruikersgegevens omspringt.

Veel videogesprekken bleken zonder toestemming onbeveiligd op internet te zijn opgeslagen. Dit kwam doordat Zoom die bestanden altijd een naam gaf die op dezelfde manier is opgebouwd. Daardoor zijn bestandsnamen makkelijk te raden en de bestanden eenvoudig te vinden.

Ook stuurde de app van Zoom gegevens naar Facebook, zelfs als de gebruiker geen account heeft bij Facebook. En toonde het bedrijf de e-mailadressen van andere gebruikers, omdat Zoom geen onderscheid kon maken tussen adressen van internetproviders als het Nederlandse XS4ALL en e-mailadressen van mensen die bij hetzelfde bedrijf werken.

Niet gerekend op massale toeloop
Het bedrijf heeft inmiddels de nodige beveiligingsverbeteringen doorgevoerd. Oprichter Eric Yuan verontschuldigde zich eerder deze week voor de beveiligingsmissers. Hij zei dat het bedrijf niet gerekend had op zo'n massale toeloop en dat de dienst nu op andere manieren werd gebruikt dan Zoom had verwacht.

'Gehackte accounts goedkoop aangeboden'
Op de zwarte markt wordt op grote schaal gehandeld in gestolen accounts van Zoom, melden zakenblad Forbes en de techsite BleepingComputer. Beveiliger Cyble kocht voor een schijntje de inloggegevens van ongeveer 530.000 gebruikers. Dat gebeurde op marktplaatsen op het dark web, het verborgen deel van het internet.

Voor nieuwe accounts kiezen nieuwkomers er vaak voor oude wachtwoorden te hergebruiken. Het probleem is dat die wachtwoorden soms al op straat zijn komen te liggen. Hackers proberen of ze met diezelfde wachtwoorden ook op andere plekken binnen kunnen komen, zoals bij Zoom.

Als die inlogpogingen zijn geslaagd, komen deze in een database te staan. De hackers verkopen die lijsten door en verdienen daar geld aan. In sommige gevallen geven ze de inloggegevens van Zoom zelfs gratis weg, om reclame voor zichzelf te maken.