Zoom wil SEC-rechtszaak over encryptieleugens schikken voor 18 miljoen

Zoom wil een schikking van achtien miljoen dollar betalen aan de Amerikaanse beurstoezichthouder SEC. Zoom was jarenlang bewust onduidelijk over de mate van versleuteling in zijn apps.

Zoom heeft in zijn recentste kwartaalcijfers 18 miljoen dollar opzijgezet voor een mogelijke schikking. Een woordvoerder zegt tegen Bloomberg dat het gaat om een voorstel dat nog moet worden goedgekeurd door de Amerikaanse Securities and Exchanges Commission, de beurstoezichthouder. Zoom sprak tijdens de besprekingen van de cijfers zelf over 'een voorlopig schikkingsvoorstel'.

De zaak draait om de manier waarop Zoom zijn encryptie besprak. Het bedrijf spreekt al sinds zeker 2016 over end-to-endversleuteling in zijn apps, maar daarvan bleek geen sprake te zijn. Het was 'normale' versleuteling waarbij Zoom zelf de sleutels beheerde. Meerdere Amerikaanse toezichthouders, waaronder de SEC maar ook de FTC, begonnen daarop onderzoeken. Zoom zou bijvoorbeeld onder andere aandeelhouders misleiden. Bovendien rekenden financiële of medische instellingen op een bepaalde mate van versleuteling die ze niet kregen.

Zoom probeert de zaak al jaren te schikken en stelt nu 18 miljoen dollar voor. Dat is veel minder dan dat het bedrijf in een collectieve rechtszaak aan gedupeerden uitkeerde; in 2021 wilde het bedrijf die schikken voor 85 miljoen dollar. Als onderdeel van eerdere zaken aangespannen door onder andere de FTC werkte Zoom ook aan een plan om de beveiliging op te schroeven op verschillende plekken.

Reacties (18)

[GameNympho]

Als men bewust iets doet, hoort er geen schikking te worden gegeven, maar een duidelijke strafmaat.
Laat die bewustwording maar voelen.

@Microwilly Daarom ook een strafmaat liever ipv een schikking. Nu kan men of een ander dit ook gewoon doen en dan erna een schikking treffen, maar zo leert men er dus niet van, geef dit soort bedrijven een duidelijk signaal, je doet iets bewust, dan strafmaat. Wist je er niet van en je doet er iets aan, dan kan er een schikking worden getroffen.

[Reactie gewijzigd door GameNympho op 29 november 2024 16:56]

[Lisadr]

Mensen kunnen zich niet voorstellen dat ze een verkeersboete krijgen van bijvoorbeeld 200 euro en vervolgens het omlaag kunnen onderhandelen naar bijvoorbeeld 30 euro. Grote bedrijven kunnen dit wel.

[CaDje]

Uiteindelijk kan iedereen schikken in een rechtzaak, strafrechtelijk en civiel, om het proces vroegtijdig te eindigen zonder dat er volgens mij een rechtelijke uitspraak komt. Moeten beide partijen het natuurlijk wel eens worden.

Over 1 verkeersovertreding ga je meestal geen rechtzaak beginnen, maar je kunt het altijd aanvechten. Er zijn wel gevallen waar je in een onderhandeling terecht kan komen zoals bijvoorbeeld dit geval in Rotterdam: https://www.rijnmond.nl/n...luiproute-ben-verbijsterd

Het OM laat Rijnmond weten de herhaalboetes onder de loep te nemen. "Het uitgangspunt is dat je van je fouten moet kunnen leren. We zoeken uit of automobilisten met meerdere boetes die kans hebben gekregen"

[Reactie gewijzigd door CaDje op 29 november 2024 15:40]

[schrikbeeld]

@CaDje De schikking waarover het meestal gaat wordt getroffen in de VS. Er zijn ook Europese klanten, de EU is altijd laks in boetes en schikkingen.
Zo is Volkswagen in veel landen beboet voor het sjoemeldieselschandaal én ze moesten klanten schadeloos stellen. Dat is in Nederland beiden niet gebeurd terwijl klant en milieu duidelijk schade hebben opgelopen.
Moraal van het verhaal: Schikken is een oneigenlijk middel om overtredingen ‘af te doen’. En dan heb je het nog niet eens over een miljoenenboete waarvoor grote bedrijven niet wakker liggen.

[deadinspace]

Uiteindelijk kan iedereen schikken in een rechtzaak, strafrechtelijk en civiel, om het proces vroegtijdig te eindigen zonder dat er volgens mij een rechtelijke uitspraak komt. Moeten beide partijen het natuurlijk wel eens worden.

Dat is wel erg kort door de bocht. Voor verkeersovertredingen en kleine strafzaken is dat niet te doen zoals voor bedrijven wel gebeurt.

Verkeersovertredingen vallen onder de wet mulder (wahv) en daarmee onder het bestuursrecht. Ze zijn erg rigide gereguleerd, en je enige opties zijn eigenlijk betalen of (al dan niet succesvol) in beroep gaan. Schikken, dus onderling met de OvJ uitkomen op een lagere boete dan voor de overtreding staat, komt volgens mij niet voor voor mulderboetes.

In strafzaken is schikken in principe wel mogelijk, en dit gebeurt ook regelmatig. Maar voor lichte strafzaken waar we het hier over hebben (eerste winkeldiefstal, 30+ te hard rijden, rijden met teveel alcohol op, ...) is het voor zover ik weet altijd zo dat het OM het schikkingsvoorstel doet en niet meegaat in pogingen tot onderhandelen. Ook krijg je alsnog een strafblad als je schikt. In praktische zin is het dus niet zo dat je er zo makkelijk van af komt als bij grote bedrijven wel lijkt te gebeuren soms.

Over 1 verkeersovertreding ga je meestal geen rechtzaak beginnen, maar je kunt het altijd aanvechten. Er zijn wel gevallen waar je in een onderhandeling terecht kan komen zoals bijvoorbeeld dit geval in Rotterdam: https://www.rijnmond.nl/n...luiproute-ben-verbijsterd

Het enige wat in dat artikel staat is dat mensen in beroep zijn gegaan. Er staat niks over schikken of onderhandelen.

[mjtdevries]

Grote bedrijven kunnen dit wel.

Nee grote bedrijven kunnen dat ook niet.
Als een aanklager weet dat ie een sterke zaak heeft dan biedt ie niet aan om te schikken.
Dat doen ze alleen als de uitslag niet zo zeker is.

En dat gebeurt zowel bij grote bedrijven als bij particulieren.

[Mitchelllll]

Het schikken is een middel van corporates om onder hun straf uit te komen dmv gebruik van kapitaal van een bv, nov of beursgenoteerd bedrijf. Hiermee kan schuld ook nog ‘ontkent’ worden. Je hebt gelijk. Er is niets eerlijks aan schikken.

[Tozz]

Kan jij ook en is ook dagelijkse praktijk

[Microwilly]

Snap niet dat mensen zoom nog vertrouwen.. Van e2e naar geen e2e encryptie is toch wel een groot probleem.

[Dreamvoid]

Ik zie Zoom ook vrij weinig meer in mijn sector, het is bijna altijd MS Teams of Cisco Webex. Ik kwam laatst wel een Amerikaanse bank tegen die het nog had, wat best verbazend is gezien hun focus op security.

Maar Zoom is goedkoop, ik geloof dat kleine bedrijven het nog wel veel hebben (als concurrent voor Whatsapp/iMessage). Maar na alle security problemen is het bij grotere bedrijven lastig te verkopen.

[Reactie gewijzigd door Dreamvoid op 29 november 2024 16:55]

[mjtdevries]

De meeste problemen waren domme configuraties van klanten.

Gedurende Covid werden we ook vrijwel gedwongen om Zoom te kopen, maar we hebben toen goed gekeken hoe we het veilig konden configureren.
Wij hebben die security problemen dan ook niet gehad.

[Dreamvoid]

Nou ja, uit dit artikel blijkt dat de security problemen niet simpelweg een config foutje waren, maar ingebakken kwetsbaarheden.

[mjtdevries]

Een "plan om security op te schroeven" omvat ook configuratie secure by default maken.

Er waren wel ingebakken kwetsbaarheden en het was duidelijk dat Zoom zo'n Agile bedrijf was waar features op de eerste plek stonden en security een stuk lager.
Maar ook die kwetsbaarheden kon je grotendeels omzeilen door een goede configuratie.

Als een vreemde niet op je sessie kan inbreken, dan hoef je ook minder bang te zijn voor een kwetsbaarheid in url's die in de chat gedeeld worden.

[mocem]

Heb persoonlijk meer moeite met bedrijven die enterprise software leveren en dan toch nog meerdere lekken per jaar. VMware, Palo Alto, Fortinet komen vaak genoeg in het nieuws.

Ik snap dus niet dat mensen zulk soort software nog kopen. Zal wel door de support contracten komen want dan ben je zelf niet verantwoordelijk.

[Verwijderd]

Ze vertrouwen Facebook en Google ook. Daar word ook e2e encryptie geclaimed.

Whatsapp client op android heeft doodleuk een "report" knopje dat berichten laat reviewen door Facebook. Wie zegt dat ze die functionaliteit niet remote aan kunnen roepen?

Nee, e2e encryptie claimen terwijl data over gesloten systemen gaat is gewoon een leugen.

[mjtdevries]

Heeft de IETF or andere internationale standaarden organisatie een definitie voor wat e2e encryptie is?
In die periode had de IETF daar geen definitie voor en in maart 2024 waren ze nog steeds bezig een definitie te maken.

Leuk dat jij een aanname doet over wat e2e encryptie is, maar dat geeft geen garantie bij een rechtzaak.

e2e encryptie voor een conference call met meerdere mensen is technisch zeer complex. Iedereen met een beetje kennis van zaken wist dat het bij Zoom encryptie van het data verkeer van de endpoint naar de server was tussen de server onderling en van de server naar het endpoint.

In de praktijk goed genoeg voor de meeste bedrijven en als je zaken als transcriptie wil gebruiken dan kan het ook niet anders.

Sindsdien is er veel meer aandacht gekomen voor een strikte definitie van de verschillende vormen van encryptie. Maar niet eens zozeer vanwege Zoom, maar meer vanwege Facebook en Google waar mensen de vendor niet vertrouwen.
Er zijn immers ontelbare applicaties waarbij je data zonder encryptie bij een vendor staat waar niemand zich druk om maakt. Bv O365

[Microwilly]

Heeft de IETF or andere internationale standaarden organisatie een definitie voor wat e2e encryptie is

Haha meen je dit serieus?

Leuk dat jij een aanname doet over wat e2e encryptie is, maar dat geeft geen garantie bij een rechtzaak.

Sorry maar je weet echt niet wat je zegt

[Microwilly]

Klopt ook heel ernstig. Maar bij zoom is het opzettelijk! Dit is geen foutje/bug. Zoom wordt/werd gebruikt door advocaten, zorg en overheid.