Vulnerabilidad en Zoom creada con IA en un día permite tomar control del dispositivo sin un solo clic

Un equipo de investigadores demostró que una vulnerabilidad en Zoom capaz de tomar el control del dispositivo de otro participante de una reunión pudo construirse con ayuda de inteligencia artificial en apenas un día. El hallazgo, bautizado «Zoomsday», describe fallos que no requieren que la víctima haga clic en nada: bastaría con estar dentro de la llamada para quedar expuesto.

La revelación llega en un momento en que la seguridad informática y las herramientas de IA generativa avanzan en direcciones que empiezan a cruzarse de forma incómoda. Que un exploit de este nivel de criticidad se ensamble en horas, y no en semanas, cambia el cálculo de riesgo para cualquier organización que dependa de videollamadas para operar.

Qué revela la vulnerabilidad en Zoom bautizada Zoomsday

Según el reporte técnico publicado por los investigadores, la cadena de fallos permitiría a un atacante que participa en una reunión ejecutar código y hacerse con el control del equipo de otro asistente. El punto más delicado es la ausencia de interacción por parte de la víctima: no hay que descargar un archivo, abrir un enlace ni aceptar un permiso. El simple hecho de estar conectado alcanzaría para abrir la puerta.

Publicidad

Este tipo de ataque, conocido en el argot de seguridad como «zero-click» (cero clic), se considera de los más peligrosos porque elimina la principal línea de defensa que suele funcionar: la prudencia del usuario. Cuando no hay nada que la víctima pueda hacer mal, la responsabilidad recae por completo en la robustez del software.

El nombre elegido, un juego con «doomsday» (día del juicio final), busca subrayar el potencial de daño. Plataformas de videoconferencia como Zoom concentran a millones de usuarios corporativos, gubernamentales y educativos, lo que convierte cualquier fallo grave en un objetivo atractivo para actores maliciosos.

La IA acorta los tiempos del ataque

El dato que más inquieta no es el fallo en sí, sino la velocidad con que se construyó la herramienta para explotarlo. Desarrollar un exploit funcional a partir de vulnerabilidades complejas exige normalmente conocimiento especializado y trabajo sostenido durante días o semanas. Que ese proceso se comprima a una sola jornada con asistencia de modelos de IA sugiere que la barrera de entrada para el atacante avanzado está bajando.

No es un caso aislado. La automatización ofensiva mediante agentes de IA ya dejó señales concretas: hace poco se documentó cómo un agente de IA hackeó la web de un gimnasio en Australia operando de forma autónoma, un episodio que encendió las alarmas sobre lo que estos sistemas pueden hacer sin supervisión humana directa.

La discusión sobre el rol de la IA en la seguridad tiene aristas contradictorias. Los mismos modelos que aceleran la creación de exploits también sirven para auditar código, detectar fallos y reforzar defensas. En la industria cripto, donde el software gestiona directamente el dinero, el debate sobre el acceso a estas herramientas ya está sobre la mesa: firmas como Coinbase, Strategy y Blockstream respaldaron una carta a favor del acceso a la IA tras el bloqueo a un investigador de Bitcoin.

Por qué importa para el ecosistema cripto

Aunque Zoom no es una plataforma cripto, la implicación para el sector es directa. Buena parte de la operativa de proyectos, fondos y equipos de desarrollo transcurre en videollamadas donde se discuten claves, estrategias, direcciones de wallets y detalles de tesorería. Un atacante con control del dispositivo de un ejecutivo o desarrollador podría acceder a información sensible, credenciales o incluso a los propios fondos.

El historial reciente muestra que los vectores de ataque contra equipos cripto suelen empezar por la ingeniería social y el compromiso de dispositivos individuales, más que por romper la criptografía de una cadena. Falsas ofertas de trabajo, reuniones falsas y software de videollamada manipulado han sido puertas de entrada en varios incidentes de robo de fondos documentados en los últimos meses.

Las recomendaciones básicas para reducir la exposición siguen siendo las de siempre, pero cobran más peso ante fallos de tipo cero clic:

• Mantener el cliente de Zoom y el sistema operativo siempre actualizados con los últimos parches.
• Restringir las reuniones a participantes verificados y usar salas de espera.
• Evitar tratar información crítica —claves privadas, seed phrases o accesos— en videollamadas.
• Aislar los equipos usados para operaciones sensibles de las cuentas de trabajo cotidianas.

Zoom suele responder a este tipo de divulgaciones con actualizaciones de seguridad, y la práctica habitual del sector es que los investigadores reporten los fallos de forma responsable antes de hacerlos públicos. El episodio funciona menos como una alarma sobre una app concreta y más como un anticipo de lo que viene: la ofensiva impulsada por IA reduce el tiempo entre el descubrimiento de un fallo y su explotación, y eso obliga a que la defensa corra a la misma velocidad.