Zoomの画面共有に潜んでいた「サイレント乗っ取り」の脅威#
ビデオ会議プラットフォーム「Zoom」の画面共有機能に、ユーザーが何も操作しなくても端末を乗っ取られる可能性のある脆弱性が発見されました。デジタルセキュリティ企業「A Security」の研究者チームが公開AIモデルを活用してこの脆弱性を突き止め、Zoomはすでに修正パッチの配布を開始しています。
詳細解説：脆弱性はどこにあったのか#
今回発見された脆弱性は、Zoomの画面共有中のリアルタイム注釈機能（アノテーション）を制御するプロトコルに存在していました。研究者たちがこのコンポーネントを重点的に調査した理由は、AIバグハンティングシステムが人間のバグハンターと同様に「複雑で難解な関数には見落とされた脆弱性が潜みやすい」という傾向を学習しているためです。
Zoomのような大手企業であれば、コードレビューや審査は十分に行っているはずです。しかし、クローズドソース（非公開）のソフトウェアでは、一般に公開されるオープンレビューの恩恵を受けられないため、注釈機能のような複雑かつ難解な機能にミスが残りやすい傾向があると研究者は指摘しています。
攻撃の特徴#
- 被害者側に通知なし・操作不要：通話に参加しているだけで攻撃が成立する「サイレント攻撃」
- 影響を受けるOS：Windows、macOS、Linux、iOS、Android（ZoomがサポートするすべてのOS）
- 攻撃対象：画面共有を含む通話の参加者・ホスト全員
AIが変えるバグハンティングの現場#
特筆すべきは、この脆弱性の発見速度です。A Securityの共同創業者Omer Gull氏はWIREDに対し次のように語っています。
「以前であれば、5人チームが6か月かけて大量の試行錯誤を繰り返して初めて発見できたようなものが、今では20回未満のプロンプトで同じ結果に到達できる。これは能力の民主化であり、参入障壁が急速に下がっていることが危険だ」
実際に今回の脆弱性は、2025年6月初旬に公開されているAIモデルを使用し、20回未満のプロンプトで発見・攻撃コードの作成まで完了したとされています。
なぜこのニュースが重要なのか#
Zoomへの「信頼」が逆手に取られる#
A Securityの共同創業者Yossi Torati氏は、「我々と一緒にZoomに参加するだけで、あなたの端末を乗っ取ることができる」と述べています。さらに企業への影響について、以下のような最悪のシナリオを示しています。
「攻撃者が企業の従業員と通話し、そのコンピューターと認証情報を奪取すれば、企業内部を横断的に侵害（ラテラルムーブメント）することが可能になる」
Zoomは個人・企業用途はもちろん、ウェビナーなどの半公開イベントにも広く使われているため、ユーザーが警戒心を緩めた状態で参加することが多い点も研究者たちは問題視しています。
パッチはすでに配布済み#
Zoomはサーバーサイドとクライアントサイドの両方に対して修正パッチを発行しており、対応は進んでいます。ただし、研究者たちはこのような脆弱性が存在し得た事実そのものの深刻さを強調しています。
まとめ#
今回の件は、AIを用いたバグハンティングが攻撃者・防御者双方にとって「ゲームチェンジャー」になり得ることを示す具体的な事例です。ソース記事では、セキュリティの現場をこれまで「猫とネズミのゲーム」と表現してきたが、AIの普及により「全力疾走のレース」になりつつあると指摘されています。
筆者の見解: Zoomのような信頼性の高いツールが攻撃の入り口になり得るという事実は、企業・個人問わずセキュリティ意識の見直しを促す重要な警鐘だと感じます。パッチ適用の確認はもちろん、ビデオ会議ツール自体を「安全な前提」と見なさない姿勢が今後ますます重要になるでしょう。
最新の技術的詳細については、詳細は元記事を参照してください。
出典: Researchers found a way to hijack devices through Zoom screen sharing
