53万账号被卖：细数ZOOM“十宗罪”，风口浪尖的云会议江湖

编者按：本文来自微信公众号“智东西”（ID:zhidxcom），作者 李水青，36氪经授权发布。

Boom！Zoom火了，就像它的名字尾缀预意的那样。

2020年开年第一季度，这家美国云视频会议服务商在美股大跌的“哀号遍野”下，股价从68美元逆势飞涨到159美元，日活用户从千万到2亿，同期增长是其竞争对手微软Teams的近三倍！

远程医疗、云课堂、居家办公、云聚会甚至是云婚丧……一场疫情使得整个视频通讯市场水涨船高，Zoom成了其中最亮的一颗星。

然而，马失前足，炸房、安全漏洞、泄露用户隐私……桩桩指控扑面而来，一时间，这家刚刚在纳斯达克上市刚满一年的明星企业陷入“四面楚歌”。这支“疫情超级股”的股价也由此按下暂停键，在4月7号跌至113美元。

就在今天，Cyble的数字风险评估专家最近发现，一名黑客正在以极低廉的价格出售被盗的近53万条Zoom安全凭证，部分甚至还免费赠送！一波未平一波又起，Zoom用9年一步步建立起来的口碑正像多米诺骨牌一样扑倒。

尽管Zoom整改了多处问题，也宣布停止软件功能更新专攻隐私安全问题，但包括谷歌、Space X、纽约市教育局、中国台湾政府等组织等都宣布要停用Zoom，Zoom的“Boom”像肥皂泡泡一样被一个个接连被戳破。

为什么是Zoom？冰火两重天背后，视频通信系统的安全隐私真相是什么？

2003年非典那年，钟南山院士曾用视讯会议系统分享抗疫经验，通过专网参加视频会议的医护人员感慨，这种培训的效率多高啊！那一年，也被认为是中国视频会议的元年。

▲十七年后，钟南山再次通过视讯系统向外国朋友分享抗疫经验

十七年后，当全球再次经历疫情，视频通讯行业发生了什么变化？又被赋予了什么样的新内涵？我们这两个月见证了太多，需要思考的问题也很多。

视讯行业的高光时刻

前段时间，二十国领导人开了一场应对新冠肺炎的特别峰会，各国元首们的云视频开会方式第一次这样和大众们“坦诚相见”。看着各不相同的视频通话设备和系统搭建的云通话场景，像你我这样的“小透明”似乎也身临其境。

▲G20中的日本会场

▲G20中的美国会场

▲G20中的中国会场

其实，视频通话已经成为疫情期间国与国、国内重要的沟通互动途径。截至2020年3月26日，我国已通过远程视频的方式与100多个国家和地区举办了近30场技术交流会议。

▲我国通过云视频会议与各国进行技术交流

除了官方，民间的视频会议、云课堂、远程医疗等的应用则更加广泛。就像国人刚经历的那样，外国朋友们也刚刚克服了云视频会议最初的“掉线”、“卡顿”、 “忘开麦”等种种Bug，开始逐渐适应视频会议的方式，并把各种令人啼笑皆非的体验分享在社交网站。

▲一位老板在开视频会议时不小心打开土豆滤镜

▲一位网友在视频会议中突然闯入的家人

▲一位网友将自己的“分身”视频当作聊天背景，引发同事惊奇

在一众“云视频会议”奇葩现场大观中，Zoom无疑是最大赢家。而且，不仅民间火爆，就连英国首相都通过Zoom与官员进行会议。在国内，据小编所知，清华大学、华为、旷视科技等公司部门也在疫情期间将视频软件换为Zoom。

▲英国首相用Zoom与官员通话

为什么是Zoom？

“广场舞大妈都会用”，是许多用户对Zoom的体验评价，便宜好用性价比高也是许多企业采购人员的口碑评价。根据 Gertner Peer Insight，Zoom 的净推荐值（NPS）为72%，远高于同行业平均值的 17%。净推荐值一种计量某个客户将会向其他人推荐某个企业或服务可能性的指数，可见Zoom的走红不能忽视其口碑策略的功劳。

其实，Zoom的突围早就显山露水。去年4月，Zoom上市纳斯达克首日，股价就上涨72%市值超 160 亿美元，比2017年1月的估值水平上涨15倍。这样傲人的增长，令思科、宝利通、微软等老牌视讯系统玩家望尘莫及。

Zoom创立于2011年，创始人袁征曾在思科WebEx担任工程副总裁，而后带领40多名员工出走自立门户。Zoom建立之初就走了一条“云视讯”路线。

当时，“云计算”对视讯行业来说还很陌生，而视频会议还大多依赖昂贵笨重的机房、硬件，拉专线派专人运维，是中小型企业难以实现的事情。

Zoom的轻轻一跃，划开了一条云视讯新时代的“银河”，将其与等一众传统硬件视频通讯方案提供商划在了时代两边，也把廉价高性价比的视频会议方案带给了中小企业。

Zoom并不是最早开辟云视讯的企业，却最适当地抓住了先机。当一场波及全球的疫情使得“非接触式”的办公、教育、医疗成为刚需，Zoom正好需要从深耕已久的C端市场向B端大举进击。权威市场调查机构Gartner报告预估，云视讯行业在 2021 财年的市场规模将达到236亿美元，疫情让这一市场蓝海提前到来。

Zoom危机背后的云视讯安全隐私真相

Zoom的扩张按下了快进键，但跑得太快难免失速。今天，被曝53万Zoom账号密码被以10美元的价格在暗网出卖，其中甚至不乏花旗银行、佛罗里达大学等大机构的账号。

人人都体会或听说过QQ密码、微信号被盗的尴尬，“用户密码”向来是关系网络平台安全的“第一关口”。Zoom最终也在这一关口栽了跟头。53万Zoom账号密码是怎样被爆出的？这和当下人们对“密码”使用习惯关系重大，许多人会选择给不同账号的账号设置相同的密码，有的用户甚至会使用“123”、“888888”这类极其简单的密码，攻击视频云平台账号的黑客正是钻了这类空子。

这类账户被泄露事件在视频云平台行业不少发生，比如去年广为人知的“黑客入侵家用摄像头扮圣诞老人吓坏小女孩”、“智能家用摄像头成真人小片直播”等事件都是因此而起。有人说，这些问题也不能全是视频云平台的错，但是当这种事件频繁发生，平台一定是有责任的。

当下，安全隐私问题的一粒灰，落到尚未卸载Zoom的用户心上都是一座山，因为近期关于Zoom的安全隐私问题可谓是“一波未平一波又起”，叫人心累！2020年4月初，美国国家安全局的前研究员Patrick Jackson爆料，在开放的云存储空间中一次性搜到了15000个Zoom视频；多伦多大学研究小组Citizen Lab报告列举众多证据称，Zoom不适合共享秘密，也不适合政府或企业使用。

Zoom的安全问题究竟是“人红是非多”还是里子出了问题？这些问题是Zoom的特殊问题还是行业的普遍担忧？我们将Zoo近期爆出的问题梳理如下：

1、软件设计逻辑问题

可以看到，Zoom近期被爆出的大多数问题属于“软件设计逻辑”上的问题，这些问题并不触及Zoom的根本。

比如炸房问题，主要是由于会议参与者将参会链接公开，被无关的人知道后点击进入进行了恶作剧行为；视频会议内容被公开，则主要是参会者自行录制会议内容后，将内容传播到了公开的云存储平台上后被其他人看到了。

2、隐私保密技术问题

但也有比较严重的安全隐私技术问题，Zoom曾自称使用端到端加密技术，但人们发现，Zoom的“端到端”其实是偷换概念。端到端的加密是被广泛认为最私密的互联网通信方式，能保证用户的通信内容不被包括Zoom在内的任何第三方接触到。

但是按照Zoom的解释，它把自己也算作了一“端”，这就不是这种大家默认的“端到端”了。简单来说，zoom可以随时解密其服务器上的视频通话内容。这就让老美愣了，我的视频内容凭什么你可以看？你怎么保证你不偷看？

Zoom称其会议使用AES-256加密，但Citizen Lab报告证实，Zoom实际上只在ECB模式下使用了简单的AES-128密钥，换句话说，Zoom这个“邮差”能看视频“信件”的内容，而且“接头暗号”太简单，很难说安全。不安全就罢了，为什么撒谎？

Zoom为什么不用端到端加密？也许是因为在意识上觉得，普通视频通话并不需要如此高的加密程度；也许是缺乏充足的网络安全预算和人才，据统计，Zoom研发费销售费用率占比最三年来高达50%~56%之间，研发费用占比却只10%~15%，显著低于同行。

3、并发的信任危机

当信任产生危机，一系列并发问题随之产生。比如：Zoom在服务欧美用户时用到了中国的服务器，引起了欧美用户的隐私担忧，密钥会被会被当地政府审核？对此，Zoom解释称，中国的几台服务器是被误加到了备用白名单中，目前已删除，之后Zoom还宣布推出新功能使付费用户能自主选择服务器。

但舆论似乎并不买账，创始人是华裔、数百研发者在中国……Zoom的华资背景也开始被追讨。有人认为，作为华裔创办企业，Zoom遇到的问题就像华为、抖音样具有意识形态偏见性质。

但实际上，Zoom遇到的问题或许更像是谷歌、亚马逊面临过的处境。去年，家用摄像头、智能音箱等云平台频频暴雷。亚马逊摄像头Ring被爆出超4000个账户泄露，谷歌Nest摄像头遭黑客入侵勒索用户，谷歌助手超1000个录音信息遭到泄露……这些互联网巨头和云商一次次因隐私安全问题被推上风口浪尖，被法律部门审判。

这类难题，本质上是云计算行业面临的隐私安全挑战。

云计算为视频会议带来了无可比拟的轻便性、快速性、灵活性，却将视频内容的处理让渡到了第三方手中。就像信件假手于人总是没有亲自递交放心一样，数据上云背后的隐私安全问题触碰到欧美主流文化中的隐秘之处，不久之后也将成为国人的关注焦点。

云视讯时代的抢滩刚刚开始

视频通话可考的历史，可以追溯到贝尔在20世纪发明的“视频电话”。到了上世纪80年代，视频通话则寄身于“电视”，一台AT&T的“视频通话电视机”高达25万美元。

世纪之交，随着互联网的发展和H.264数字视频压缩格式的出现，宝利通、思科迎来它们的时代。2002年，宝利通在中国工商银行的视频通话项目达到2亿元。

2003年，H.264，也就是AVC（Advanced Video Coding，高级视频编码）的出现，使得视频压缩、存储、处理的能力突飞猛进。视频的实时传输就像自来水流入强大的管道和水龙头，变得更加流畅无阻。

尽管如此，搭建一套视频通讯系统依然价值不菲。用户需要采购昂贵的MCU（多点控制单元）服务器和视频通话终端，架设专门的机房，同时需要申请网络专线，还要找专人进行运维。视频通话仍然是政府、跨国大企业的才用的起的“奢侈应用”。

自2006年谷歌首次提出“云计算”概念后，这一情形开始改变。

自2010年起，各大厂商纷纷开始提供云视讯服务。客户不需要购买昂贵的服务器和专人运维，只需要租赁软件服务，通过摄像头、电脑等终端就能接通视频会议。

▲传统硬件视讯系统（左）与云视讯系统（右）架构的对比

Zoom，正是“云视频平台”的先行者。Zoom丢弃了传统 MCU硬件系统模式的桎梏，转而搭建分布式云架构，利用终端边缘计算大大降低视频编解码、传输所需要的计算资源和带宽，同时让视讯系统的功能拓展变得灵活百倍。

同时，Zoom放弃了思科、宝利通所用的AVC，转而将SVC（Scalable Video Coding，可扩展视频编码）发扬光大。通过将视频流分层次处理，Zoom让网络状态不好的用户也能进行基本的视频通话。

但Zoom侧畔，还有众多玩家已经采取了布局。权威市场调查机构Gartner报告预估，云视讯行业在 2021 财年的市场规模将达到236亿美元，疫情让这一市场蓝海提前到来。传统硬件视讯玩家、互联网巨头、云视讯新玩家都在共赴赛道。

结语：Zoom之后，巨头之战刚刚开始

作为一种近十年里才真正兴起的新事物，视频云平台的完全安全还需要时间，Zoom的“暴雷”或许才是将Zoom拉回到了正常的节奏上。Zoom像谷歌、亚马逊、Facebook那样抗压，我们不得而知。

可以知道的是，当Zoom按下暂停键，也意味着微软Skype、谷歌的会议系统要按下快进键。它们是自己有“云”的大佬，同时具有强大的用户生态和应用开发能力，等待的只是一个收割的时机。

疫情终将过去，也许人们对视频会议的需求会回冷，但是利用云平台协同办公的习惯却可能延续下去。以Zoom同样在进军的国内市场为例，钉钉、腾讯会议、华为Welink等都在提供云视讯服务，同时还具备演示文稿、文档共享、文件翻译、联结多屏、AI助手等众多协助办公的应用，价值也不再仅仅是视频交互，而是办公方式的数字化变革。

很难说在Zoom“初愈”之时，市场是不是还是当初那般。Zoom略显单一的视频通话技术和应用，似乎是互联网巨头们花些时间就能够吸收并超越的。据统计，Zoom研发费销售费用率占比最三年来高达50%~56%之间，研发费用占比却只有10%~15%，显著低于同行。

疫情之后，医疗、教育、公检法司、金融等垂直领域对专业定制化视讯系统的需求可能会持续。而以华为、中兴、科达为代表的传统硬件视讯企业，不仅在硬件视讯系统上基础深厚，在云视讯服务上也早有布局。

尽管在界面体验及技术细节上，传统企业可能一时不如Zoom、小鱼易连、好视通等新秀，但这些难以成其技术护城河类的因素很容易被时间消化。