Zomm, la aplicación de videoconferencia que ha ganado mucha popularidad con la democratización del teletrabajo, tiene una vulnerabilidad no parcheada que permite a un atacante dejar un enlace malicioso en la ventana de chat que se está utilizando para robar contraseñas de Windows.

Según informa The Hacker News, se trata de un error grave si tenemos en cuenta el uso de esta herramienta de videoconferencia en miles de empresas debido a la pandemia de coronavirus, que ha forzado el teletrabajo masivo.

De acuerdo con los informes, un ciberdelincuente podría efectuar una inyección de ruta UNC para exponer las credenciales. Eso se produce porque Windows expone el nombre y contraseña de un usuario a un servidor remoto al tratar de conectarse a la aplicación y descargar un archivo.

Todo lo que un atacante tiene que hacer es enviar un enlace a otro usuario y convencerlo para pinchar en él. Aunque la contraseña del sistema está cifrada, es relativamente fácil desencriptarla.

Los expertos en seguridad ya han recibido la voz de alarma, y se está examinando el software. Pero, además de este error, ha habido críticas porque se ha comentado que la solución usa cifrado de extremo a extremo, cuando no es así. Zoom ya ha anunciado un parche para solucionar la brecha actual.