什么是 Zoom 轰炸？发生原因与 7 种防范方法

本文为独立指南，与 Zoom Communications, Inc. 无任何关联或背书。

想象一下：公司季度全员会议已经进行了五分钟，CEO 正在分享营收数据。突然，一个陌生人出现在屏幕上，播放刺耳的音乐，并在聊天中发布不雅图片。几秒钟内，200 名员工看到了任何人都不应该在工作中看到的内容。

这样的场景在 2020 年和 2021 年发生了数千次。FBI 发布了公开警告，学校暂停了线上课程，法院开始起诉犯罪者。一个新词也由此诞生：Zoom 轰炸（Zoombombing）。

虽然最严重的浪潮发生在疫情初期，但 Zoom 轰炸并未消失。FBI 互联网犯罪投诉中心的报告显示，会议被干扰的事件仍在发生，尤其是在忽略基本安全设置的组织中。

本指南将介绍 Zoom 轰炸是什么、攻击者如何入侵、7 个具体防范步骤，以及遭遇攻击时的应对方法。无论是 10 人站会还是 500 人网络研讨会，这些步骤都适用。

Zoom 轰炸是如何发生的？

Zoom 轰炸不需要高级黑客技术。大多数情况下，攻击者通过以下四种途径之一入侵：

会议链接被公开分享。 有人将会议链接发布到社交媒体、公开的 Slack 频道或网站上。如果会议没有密码或等候室，任何点击链接的人都能加入。疫情期间，教师经常在学校网站上发布课程链接，使其成为容易攻击的目标。

猜测会议 ID。 Zoom 默认的会议 ID 曾为 9 到 11 位数字。2020 年波士顿大学的研究人员证明，自动化脚本可以通过穷举数字组合来猜出有效的会议 ID。此后 Zoom 添加了默认密码，但禁用密码的会议仍然存在漏洞。

内部人员泄露。 参会者将会议链接或凭据分享给群组外的人——可能是有意为之，也可能是转发了日历邀请。这是最难仅靠技术手段防范的途径。

重复使用个人会议 ID。 每个 Zoom 账户都有一个固定的个人会议 ID（PMI）。如果你每次会议都使用同一个 PMI 且曾经分享过，保存了该 ID 的人就能在未来的会议中不请自来。

了解这些入侵途径非常重要，因为下文中的每个防范步骤都会封堵其中一个或多个。

为什么有人要进行 Zoom 轰炸？

动机各有不同，但通常可归为三类。

恶作剧和博取关注。 最大的一类 Zoom 轰炸者是寻求刺激的网络喷子。2020 年，整个论坛和 Discord 服务器都在组织"Zoom 突袭"——用户分享会议链接并协调干扰行动，目的是以牺牲他人为代价来取乐。

骚扰和仇恨言论。 一些攻击是有针对性的。2020 年，反诽谤联盟报告了包含种族歧视、反犹和恐同内容的 Zoom 轰炸事件激增，这些攻击针对特定社群。线上宗教活动、互助小组和文化活动是常见目标。

商业间谍和数据窃取。 频率较低但危害更大。未受邀请者悄悄加入会议，关闭摄像头，窃听机密讨论。这类 Zoom 轰炸更难被发现，因为入侵者不想被注意到。

第三类正是为什么即使在内部团队会议中也需要安全防范的原因——你可能觉得"没人会来打扰我们"。但对于讨论产品路线图、财务数据或人事决策的公司来说，无声窃听是切实存在的风险。

今天就该检查的 Zoom 安全设置

除了上述 7 个步骤，Zoom 自 2020 年轰炸潮以来还新增了多项安全功能。以下是账户快速检查清单：

• "暂停参会者活动"按钮。 2020 年末新增，这个紧急按钮可一键暂停所有视频、音频、屏幕共享、录制和分组讨论室。在会议工具栏的安全盾牌图标下可以找到，干扰一开始就立即使用。
• "高风险会议通知"。 Zoom 会扫描社交媒体上公开发布的会议链接。如果你的链接被发现，你会收到警告邮件，建议更改设置或创建新链接。
• 仅允许已验证用户加入。 在设置 > 安全中，启用"仅已认证用户可加入"。参会者需先登录 Zoom 账户才能进入。企业会议可进一步限制为使用组织邮箱域名的用户。
• 端到端加密（E2EE）。 支持最多 200 人的会议。启用后，即使 Zoom 服务器也无法访问会议内容。前往设置 > 安全 > "允许使用端到端加密"并开启。
• 水印。 Zoom 可在共享内容上叠加每位参会者的邮箱地址，并在会议音频中嵌入音频水印。如有人泄露录制内容，可追溯来源。

将这份清单过一遍，你的会议就能获得良好的保护。大多数设置只需不到一分钟即可启用。

遭遇 Zoom 轰炸时该怎么办

即使做了充分准备，干扰仍可能发生。也许有人转发了链接，或者你接手了安全设置薄弱的会议。以下是分步应急方案：

1. 立即点击"暂停参会者活动"。 一切活动瞬间停止。干扰者无法共享屏幕、取消静音或发送聊天消息。你将获得思考时间而无需担心干扰继续。

2. 识别并移除入侵者。 打开参会者面板，查找不认识的名字或"iPhone""用户"等通用名称。移除他们并勾选阻止重新加入的选项。

3. 锁定会议。 干扰者被移除后，锁定会议以阻止其他人进入。

4. 正面回应。 告诉参会者："刚才发生了一起未经授权的干扰。该人员已被移除，会议已锁定。"不要假装什么都没发生。如果内容具有冒犯性，承认这一点并在会后关心团队成员的状态。

5. 记录一切。 保存会议聊天记录，记下干扰者的显示名称和可见的个人资料信息，如果正在录制则保存录制文件。这些证据对于后续举报至关重要。

6. 举报事件。 向 Zoom Trust & Safety 团队提交报告。如果干扰涉及威胁、仇恨言论或违法内容，还应向当地执法部门和 FBI IC3 报案。

7. 复盘并更新设置。 会议结束后，查明入侵者是如何进入的。是否有人公开分享了链接？等候室是否被关闭？根据答案在未来的会议中修补这一漏洞。

举个实例：某公益组织正在举办线上募捐活动，主旨演讲开始 5 分钟后遭遇 Zoom 轰炸。主持人一时呆住了。但读过类似指南的联合主持人立即暂停了参会者活动，移除了入侵者并锁定了会议。90 秒后演讲恢复。准备充分与否，决定了 90 秒的小插曲和 20 分钟混乱之间的差距。

Zoom 轰炸违法吗？

是的，Zoom 轰炸可能构成犯罪。具体指控取决于攻击者的行为和所在地，但法律后果是真实存在的。

美国联邦指控。 FBI 和司法部已将某些 Zoom 轰炸事件定性为联邦犯罪。根据计算机欺诈和滥用法案（CFAA），未经授权访问计算机系统可面临最高 5 年监禁。若干扰涉及威胁或仇恨言论，还会依据联邦骚扰法和民权法追加指控。

州级检控。 美国多个州已依据现行法律起诉 Zoom 轰炸者。2020 年，一名加利福尼亚男子因"与扰乱在线课堂相关的网络犯罪"被指控。得克萨斯州、纽约州和密歇根州也有类似案件。常见指控包括未经授权的计算机访问、骚扰和扰乱秩序。

国际执法。 英国 2003 年《通信法》涵盖"严重冒犯性"电子通信。加拿大《刑法》规定了未经授权使用计算机系统的行为。澳大利亚《刑法典》包含对未经授权访问受限数据的相关条款。

民事责任。 除刑事指控外，Zoom 轰炸者还面临民事诉讼。如果攻击造成了可量化的损失（活动取消、参会者精神损害、商业损失），受害者可以提起损害赔偿诉讼。

关键的法律问题在于会议是否"对公众开放"。如果你在公开网站上发布了无密码的会议链接，就更难主张点击者实施了未经授权的访问。这也是始终使用密码和等候室的又一理由：它们建立了明确的边界，越界即违法。

总结：Zoom 轰炸不只是"恶作剧"，可能导致刑事追诉、罚款和监禁。

2026 年还有 Zoom 轰炸吗？

2020-2021 年的爆发式增长已经放缓，但 Zoom 轰炸并未停止。三个因素使其持续存在：

默认设置无法覆盖一切。 Zoom 于 2020 年 4 月默认启用了密码和等候室，阻止了猜测会议 ID 的普通攻击者。但管理员可以（也确实会）出于方便而关闭这些默认设置。将便捷访问置于安全之上的组织仍然存在漏洞。

新平台，同样的问题。 Zoom 轰炸因 Zoom 得名，但同样的攻击也发生在 Google Meet、Microsoft Teams、Webex 以及几乎所有使用可分享会议链接的平台上。斯坦福大学关于远程学习的研究发现，会议干扰发生在所有主要平台上，而非仅限于 Zoom。

混合活动增加了暴露面。 随着企业举办更多兼具线下和线上参与者的混合活动，会议链接的分发范围更广。发送给 50 人的链接可能被转发给 500 人，每次转发都是潜在的泄露。

风险低于 2020 年，但并非为零。任何举办公开虚拟活动、在线课程或社区会议的组织都应将 Zoom 轰炸防范视为常规做法，而非疫情时期的遗留。

如果你正在寻找如何安全设置 Zoom 会议的信息或 Zoom 使用指南，这些指南涵盖了以安全为核心的完整设置流程。

超越会议链接：空间平台如何以不同方式解决问题

传统视频会议工具有一个结构性弱点：会议链接。一个 URL 就能获得整个房间的完全访问权。如果这个 URL 泄露，任何人都能进入。

空间会议平台采用了不同的方式。你得到的不是单一的会议室，而是一个人们以虚拟形象自由移动的虚拟空间。对话基于距离发生：你能听到身边的人，听不到远处的人。

这种架构从三个方面改变了安全模型：

1. 单一链接无法访问所有对话。 即使未受邀请的人进入空间，也只能听到自己身旁的对话。房间另一侧的其他群组默认是私密的。

2. 可视化的存在感知。 在 100 人的 Zoom 通话中，陌生人很容易混入。在空间房间中，站在你群组旁边的陌生虚拟形象立刻可见。你可以移开并在其他地方继续对话。

3. 空间内的私密房间。 像 Flat.social 这样的空间平台包含封闭区域，墙壁可以隔绝声音。走进去，外面的人就听不到你了。不需要密码，因为隐私已内置于空间的结构中。

这并不意味着传统视频会议已经过时。Zoom 和 Teams 仍然是结构化演讲和正式全员会议的最佳选择。但对于团队活动、社交活动和日常协作，空间平台从根源上消除了安全漏洞：可分享的会议链接。

如果 Zoom 轰炸一直是你组织的隐忧，不妨了解一下从不同角度解决问题的传统视频通话替代方案。

Zoom 是 Zoom Communications, Inc. 的商标。Google Meet 是 Google LLC 的商标。Microsoft Teams 是 Microsoft Corporation 的商标。Webex 是 Cisco Systems, Inc. 的商标。本文与上述任何公司均无关联，未获其赞助或背书。