导航：首页 > 新闻 >

慎防 Zoom 会议被骑劫！ HKCERT 10 招安全建议保平安

发表于：2024-04-27 作者：创始人

编辑最后更新 2024年04月27日，现在很多机构和学校都会用到 Zoom 进行视像会议和教学，不过近日 Zoom 就接连被揭发有很多安全问题，尤其是有恶恶意份子会闯入没有做好安全设定的会议，散布恶意信息甚至窃取用户资料。香港电脑保安事故

现在很多机构和学校都会用到 Zoom 进行视像会议和教学，不过近日 Zoom 就接连被揭发有很多安全问题，尤其是有恶恶意份子会闯入没有做好安全设定的会议，散布恶意信息甚至窃取用户资料。香港电脑保安事故协调中心（ HKCERT ）日前就在网站上发表文章，提供 10 招给 Zoom 用户，希望提高网上会议安全。

HKCERT 指现在有一种针对 Zoom 用户的新兴网络攻击，称为" Zoom-bombing "或" Video-teleconferencing hijacking "，攻击者会尝试登入未有做好安全设定的 Zoom 会议，或者利用软件早前的漏洞来搜寻可用的会议 ID 闯入会议，窃听会议内容，甚至骑劫会议、散布不当信息或恶意软件。

另外，闯入会议的恶意分子又可以利用 Zoom 将 Windows 系统的 UNC 路径（如 \\evil.server.com\images\cat.jpg ）变成可按连结的漏洞，用户不小心点击恶意份子散布的 UNC 连结，就会将用户的登录名和 NTLM 密码杂凑（ hashed password ）发送到远程服务器，恶意份子就可以收集与会者的个人资料来进行其他攻击。

HKCERT 向所有 Zoom 用户和主持会议的单位发出 10 点建议：

所有Zoom用户
1. 使用最新版本的 Zoom 软件和保安软件
  - 只在其官方网站或官方应用程序商店下载软件
  - 经常保持软件至最新版本
  - 经常更新操作系统（包括桌面电脑及流动装置）及保安软件
2. 提防任何不明的 UNC 连结
  - 不要点击任何可疑的 UNC 连结
  - （适用于专业 Windows 用户）设置 Group policy 以停止传送 NTLM 密码
3. 切勿在会议期间分享机密资讯
  - Zoom 并未支援完全的端到端加密（端到端加密是指除指定人士外，连服务供应商 Zoom 亦无法查看会议的内容）
  - 避免讨论任何机密资料以防止外泄
4. 使用有意义的显示名称
  - 避免使用误导性名称或网上昵称，让主持人更容易识别与会者
5. 小心保护你的Zoom 账户及留心可疑的账户活动
  - 账户应设立一个高强度的账户密码
  - 若发现可疑情况，请登出所有 Zoom 用户端（如遗失电脑或手机，应立即登出所有用户端，并更改登入密码）
  - 切勿随意分享或公开主办方传送的会议 ID 和网址
主持会议的单位
1. 保护会议私密性及防止非法入侵者
  - 只向与会者分享会议 ID 和网址。切勿将其分享到社交媒体或公开的网络平台
  - 每次会议都设立不同的会议 ID 和密码（最新版本的 Zoom 会预先启用会议密码设定，并新增了防止用随机扫描会议 ID 的方法来加入会议的措施。）
  - 设立高强度的会议密码，并分开发送会议网址给与会者
  - 使用预先登记功能来控制与会者名单
  - 禁用"在主持人之前加入会议（ Join before Host ）"选项，确保主持人在与会者加入会议前已经在场，让主持人预先识别与会者
  - 善用等候室功能来控制谁可登入会议
  - 当所有与会者都加入会议后立即锁上会议
  - 设定分享屏幕至 "只限主持人（ Only Host ）"，并只在有需要时才开放此功能给与会者
2. 监察会议
  - 使用另一部装置以与会者身份登入
  - 监察与会者分享的任何不当内容，移除不合适的资讯和身份不明人士
3. 小心处理会议录像以确保安全及保护与会者隐私
  - 如果要进行录影，应预先通知所有与会者
  - 如果录像内含有敏感资料，应将该录像保存于个人电脑中，而非云端内，并设置适当的存取权限，仅共享给可信任人士
4. 保密你的账号个人会议（ Personal Meeting ） ID
  - 此 ID 可连结至你的 Zoom 账户，所以只应作个人使用
  - 切勿分享此 ID 或用于一般会议中
5. 为网络会议制定有关的保安政策
  - 公司应制定相关的保安政策，供员工于主持和参加网上会议时遵循
  - 相关政策应涵盖使用守则及安全控制