Mais de 100 salas de videoconferência de entidades e sectores críticos criadas no Jitsu estavam expostas

A empresa de segurança S21sec identificou salas da plataforma de videoconferência Jitsi que incluíam os sectores tecnológico, educação e saúde e entidades governamentais de diferentes países.

A S21sec apresentou uma ferramenta capaz de identificar salas expostas de aplicações de videoconferências, salientando que detetou mais de 100 sessões na plataforma de código aberto Jitsi, nomeadamente o seu serviço gratuito Meet.jit.si. A crescente procura de soluções de aplicações de videoconferência tem aumentado a exposição dos utilizadores para os perigos relacionados com cibersegurança, como aliás, o FBI já alertou em relação ao Zoom.

A especialista em segurança chama a atenção de que as salas de videoconferência realizadas em fornecedores de “Cloud vídeo as a Service”, quando configuradas incorretamente, permitem que qualquer pessoa externa possa ter acesso às mesmas. A empresa refere que no caso da Jitsi, esta tem opções avançadas de segurança, mas que devem ser configuradas corretamente para não serem expostas.

Foi desenvolvida uma ferramenta capaz de identificar as salas expostas do Meet.jit.si e pesquisar pelos nomes das empresas com maior expressão em Espanha, termos habituais de teletrabalho, nomes de cidades espanholas e outros. A empresa conseguiu gravar mais de 100 videoconferências expostas, para ilustrar a sua chamada de atenção, em sectores como o tecnológico, educação e saúde, assim como atividades recreativas e pessoais, transferidas para conferências virtuais.

A empresa refere que hackers mal-intencionados podem configurar a sua ferramenta com termos específicos direcionados a uma empresa ou sector, recebendo alertas de quando uma reunião é iniciada, ou guardar o arquivo de vídeo para análise posterior. A especialista em segurança refere que é muito fácil mostrar acidentalmente informações internas, tais como endereços, tokens, nomes de utilizador e outras configurações que podem depois ser exploradas por um hacker.

O mais grave, é que a S21sec refere que detetou a utilização do Jitsi por entidades e sectores críticos, como governos em diferentes países, expostos sob nomes de domínio de entidades governamentais. A empresa refere que apesar de um membro estranho que entre na reunião virtual possa ser percebido, há reuniões muito concorridas e um intruso não seria motivo de alarme. E mesmo que detetados, assumem que é um colega com problemas de configuração. Isso acontece sobretudo se não mudarem o nome-padrão do Jitsi, que por defeito chama-se “Fellow Jitster”, algo habitual nas reuniões quando não se altera o nome ou se liga a câmara.