Het Amerikaanse ministerie van Homeland Security heeft bedrijven en overheden eind april gewaarschuwd voor mogelijke aanvallen via Zoom. Het zou dan gaan om aanvallen door Advanced Persistent Threat (APT)-groepen die van kwetsbaarheden in de videoconferentiesoftware gebruikmaken. APT is een afkorting voor groepen die in opdracht van staten werken en zich onder andere bezighouden met spionage.

"APT-groepen zullen waarschijnlijk nieuwe of bestaande kwetsbaarheden in Zoom gebruiken om apparaten en accounts van gebruikers te compromitteren voor verdere aanvallen tegen bedrijfsnetwerken. Het gaat dan ook om partijen in de vitale infrastructuur", aldus de waarschuwing van het ministerie waarin verder wordt gesteld dat APT-groepen kwetsbaarheden in Zoom als een aantrekkelijke kans zien om zowel de publieke als private sector aan te vallen.

Homeland Security zegt het oordeel te baseren op de talrijke kwetsbaarheden die in Zoom zijn aangetroffen. Daarnaast speelt de Chinese toegang tot Zoom-servers mee. "De Chinese toegang tot Zoom-servers plaats Beijing in een unieke positie om Amerikaanse gebruikers van Zoom in de publieke en private sector aan te vallen. De unieke positie van China voorkomt niet dat andere landen Zoom-kwetsbaarheden zullen gebruiken om hun doelen te bereiken."

In de waarschuwing, die via Public Intelligence openbaar is gemaakt, erkent het ministerie wel dat het geen aanwijzingen heeft dat aanvallers Zoom gebruiken voor het aanvallen van apparaten en bedrijfsnetwerken. Kwetsbaarheden in Zoom of gestolen inloggegevens van Zoom-accounts zouden echter wel kunnen worden gebruikt om toegang tot netwerken te krijgen. Via de ingebouwde optie om bestanden uit te wisselen zou er bijvoorbeeld malware kunnen worden verspreid.

Afsluitend laat het ministerie weten dat de plotselinge groei van Zoom in zowel de publieke als private sector in combinatie met alle gevonden kwetsbaarheden een zeer "kwetsbare, doelwitrijke omgeving" creëert die aantrekkelijk voor APT-groepen is om hun doelen te behalen, zoals sabotage, spionage of financieel gewin. "Elke organisatie die van Zoom gebruikmaakt, of dit overweegt, zou het risico van het gebruik moeten evalueren", aldus het advies van Homeland Security.