# Zoombombing

Le zoombombing ou zoom raiding est une intrusion non désirée et perturbatrice, généralement effectuée par des trolls ou des pirates informatiques, dans une vidéoconférence. Dans un incident typique de zoombombing, une session de téléconférence est détournée par l'insertion de matériel de nature obscène, raciste ou antisémite, résultant généralement de la fermeture de la session.
Le terme est associé au nom du logiciel de vidéoconférence Zoom en est dérivé, mais il a également été utilisé pour désigner le phénomène sur d'autres plateformes de vidéoconférence. Le terme s'est popularisé en 2020, après que la pandémie de Covid-19 a forcé de nombreuses personnes à rester chez elles et que la vidéoconférence a été utilisée à grande échelle par les entreprises, les écoles et les groupes sociaux.
Le zoombombing a causé des problèmes importants aux écoles, aux entreprises et aux organisations du monde entier. Ces incidents ont entraîné une méfiance envers le logiciel Zoom ainsi que des restrictions sur l'utilisation de la plateforme par les institutions éducatives, les entreprises et les gouvernements. En réponse, Zoom a pris des mesures pour augmenter la sécurité de son application de téléconférence. Les incidents de zoombombing ont incité les autorités locales et fédérales de divers pays à enquêter sur ces cas et à engager des poursuites pénales contre les contrevenants.

## Histoire

Le terme zoombombing est dérivé de l'application de téléconférence Zoom, bien que le terme ait également été utilisé en référence à des incidents similaires sur d'autres plateformes de téléconférence, telles que WebEx ou Skype.
L'utilisation accrue de Zoom pendant la pandémie de Covid-19 comme alternative aux réunions en face à face a attiré les pirates informatiques et les trolls Internet, qui exploitaient et contournaient les dispositifs de sécurité de l'application. Dans divers serveurs tels que Discord et Reddit, des efforts ont été coordonnés pour perturber des sessions Zoom, tandis que certains comptes Twitter annonçaient des mots de passe pour des sessions susceptibles d'être rejointes.
Dans les établissements d'enseignement, certains étudiants demandaient activement à des inconnus de zoombomber leurs salles de classe virtuelles afin de pimenter leurs leçons virtuelles et ils facilitaient les raids en partageant leurs mots de passe avec les malfaiteurs.
CNET a mentionné que de simples recherches sur Google pour des URL incluant Zoom.us pourraient révéler des liens de conférences non protégées par un mot de passe.
Les pirates et les trolls recherchent également des cibles faciles comme des réunions non protégées ou mal protégées au cours desquelles les organisations rencontrent leurs employés ou leurs clients à distance.
Lorsqu'une session Zoom est en cours, des utilisateurs inconnus se présentent et détournent la session en disant ou en montrant des choses de nature obscène, raciste ou antisémite. La vidéoconférence compromise est alors généralement fermée par l'hôte$^,$. Certaines sessions compromises ont été publiées sur des plateformes de partage telles que TikTok et YouTube.

## Réponses

Le zoombombing a causé des problèmes aux écoles et aux éducateurs lorsque des participants indésirables ont affiché des contenus obscènes pour perturber des cours en ligne$^,$$^,$. Certaines écoles ont dû cesser d'utiliser la vidéoconférence. L'Université de Californie du Sud a qualifié le zoombombing de trolling et s'est excusée pour les événements disgracieux qui ont interrompu les conférences et les séances d'apprentissage.
Le zoombombing a incité les collèges et les universités à publier des guides et des directives pour éduquer et sensibiliser leurs étudiants et leur personnel à ce phénomène. Ces crimes ont attiré l'attention non seulement sur le manque de sécurité des plateformes de vidéoconférence, mais aussi sur le manque de sensibilité à la sécurité informatique des universités.
Le problème a pris une telle ampleur que le Federal Bureau of Investigation (FBI) des États-Unis a mis en garde contre les détournements de vidéoconférences et de salles de classe en ligne$^,$. Le FBI a conseillé aux utilisateurs de logiciels de téléconférence de garder les réunions privées, d'exiger des mots de passe ou d'autres formes de contrôle d'accès telles que les salles d'attente pour limiter l'accès à certaines personnes seulement, et de limiter l'accès au partage d'écran à l'hôte de la réunion. Vu le nombre d'incidents de zoombombing, le procureur général de New York a lancé une enquête sur les politiques de confidentialité et de sécurité des données de la compagnie Zoom. Le sénateur américain Sherrod Brown a demandé à la Federal Trade Commission d'enquêter sur cette affaire, accusant Zoom de se livrer à des pratiques trompeuses concernant la vie privée et la sécurité des utilisateurs.
En raison des inquiétudes suscitées par le zoombombing, plusieurs organisations ont interdit l'utilisation de Zoom. En avril 2020, Google a interdit l'utilisation de Zoom sur ses ordinateurs d'entreprise, en demandant à ses employés d'utiliser plutôt son application de chat vidéo Google Duo. L'utilisation de Zoom a également été interdite par SpaceX, Smart Communications, la NASA et les forces de défense australiennes. Les gouvernements taïwanais et canadien ont interdit l'utilisation de Zoom pour tout usage gouvernemental. Le Département de l'Éducation de la ville de New York a interdit à tous ses enseignants d'utiliser la plate-forme avec des étudiants, et le Clark County School District (en) du Nevada a désactivé l'accès à Zoom pour son personnel. Le ministère de l'Éducation de Singapour a brièvement interdit à tous les enseignants du pays d'utiliser Zoom$^,$, avant de lever l'interdiction trois jours plus tard, après avoir ajouté des dispositifs de sécurité.
Des zoombombers ont partagé leurs versions des événements, affirmant qu'ils n'essayaient pas de faire du mal. Certains prétendent qu'il agissent pour protester contre le travail excessif demandé par les enseignants. Tous les incidents ne sont pas malveillants, car certains partagent une nouvelle culture pop, comme les mèmes et les TikToks, pour apporter un peu de détente et de plaisir pendant la pandémie.
Le PDG de Zoom, Eric Yuan, a présenté des excuses publiques, déclarant que la société de téléconférence n'avait pas prévu l'afflux soudain de nouveaux utilisateurs pendant la pandémie et affirmant que « c'est une erreur et une leçon apprise »$^,$. Zoom a publié sur son blogue un guide sur la manière d'éviter ce type d'incidents.
Le 7 avril 2020, Zoom a mis en place des mises à jour de l'expérience utilisateur et de la sécurité de l'application. Ces mises à jour comprennent une icône Sécurité plus visible, la suppression des numéros d'identification des réunions de la barre d'outils de Zoom et une modification des paramètres par défaut pour exiger des mots de passe et des salles d'attente pour les sessions. Le 8 avril 2020, Zoom a annoncé qu'elle avait formé un conseil de responsables de la sécurité de l'information d'autres entreprises pour partager des idées sur les bonnes pratiques, et qu'elle avait engagé Alex Stamos (en), ancien responsable de la sécurité de Facebook, comme conseiller.
Zoom a publié sa version 5.0 en avril 2020 avec des fonctions de sécurité qui comprennent le cryptage AES 256 bits GCM, des mots de passe par défaut, et une fonction permettant de signaler les utilisateurs suspects à son équipe de confiance et de sécurité$^,$. En mai 2020, Zoom a annoncé qu'elle avait temporairement désactivé son intégration Giphy (fréquemment utilisée comme tactique de zoombombing) jusqu'à ce que les problèmes de sécurité puissent être correctement et complètement résolu.
Le 1er juillet 2020, Zoom a déclaré avoir mis en place 100 nouvelles fonctions de sécurité au cours des 90 derniers jours, notamment le chiffrement de bout en bout pour tous les utilisateurs, l'activation par défaut des mots de passe de réunion, la possibilité pour les utilisateurs de choisir de quels centres de données les appels sont acheminés, la consultation d'experts en sécurité, la formation d'un conseil de responsables de la sécurité de l'information, un programme amélioré de prime aux bogues et la collaboration avec des tiers pour aider à tester la sécurité$^,$.

## Usage criminel

Les autorités nationales du monde entier ont mis en garde contre d'éventuelles accusations contre des personnes se livrant au zoombombing$^,$.
Le 8 avril 2020, un adolescent de Madison, dans le Connecticut, a été arrêté pour cybercrime, conspiration et trouble de l'ordre public à la suite d'un incident de zoombombing impliquant des cours en ligne au Daniel Hand High School (en). La police a également identifié un autre adolescent impliqué dans l'incident.
A San Francisco, un homme a été arrêté après avoir été identifié comme la source de vidéos pornographiques diffusées en continu sur Zoom. En mai 2020, le FBI a traité 195 cas de zoombombing impliquant des abus sur des enfants, tandis que la National Crime Agency a traité plus de 120 cas de ce type.
L'église luthérienne St. Paulus (en) de San Francisco a intenté une action collective contre Zoom après qu'un de ses cours d'étude biblique ait été zombombé le 6 mai 2020. L'église a allégué que Zoom n'avait rien fait lorsqu'elle a contacté la société.