Seguretat en videoconferències: riscos, bones pràctiques i com funciona el xifratge

La seguretat en videoconferències són les mesures tècniques i organitzatives que protegeixen les reunions virtuals d'accessos no autoritzats, interceptació de dades i violacions de la privacitat. Cobreix tres àrees principals: xifratge (protecció de les dades en trànsit i emmagatzemades), control d'accés (garantir que només els participants autoritzats puguin entrar) i infraestructura (on es processen i es desen les teves dades).

Si fas servir les videotrucades per a res sensible (reunions amb clients, consultes mèdiques, sessions de junta directiva, converses de recursos humans), la seguretat de la plataforma no és opcional. Una videotrucada mal protegida és una porta oberta.

Taula de continguts

1. Per què la seguretat en videoconferències importa més que mai
2. Les amenaces més habituals
3. Com protegeix el xifratge les videotrucades
4. Autenticació i control d'accés
5. Infraestructura i residència de dades
6. Checklist de seguretat per a organitzacions
7. Com avaluar la seguretat d'una plataforma
8. L'enfocament de seguretat de Digital Samba
9. Preguntes freqüents

Per què la seguretat en videoconferències importa més que mai

El cibercrim no para de créixer. El centre de denúncies de delictes informàtics de l'FBI (IC3) va registrar més de 859.000 denúncies i 16.600 milions de dòlars en pèrdues el 2024, un 33% més que l'any anterior. El phishing i la suplantació d'identitat van ser els tipus de delicte més denunciats, amb més de 193.000 casos.

Les videoconferències no són immunes. Amb el teletreball i els models híbrids ja consolidats, les videotrucades s'han convertit en un canal habitual per compartir informació confidencial: dades financeres, propietat intel·lectual, historials mèdics, discussions legals. Això les converteix en objectiu.

A més, la pressió normativa ha augmentat. El Reglament General de Protecció de Dades (RGPD) imposa regles estrictes sobre com es tracten les dades personals durant les videotrucades. A Espanya, la LOPDGDD (Llei orgànica 3/2018) complementa el RGPD amb disposicions específiques per al context estatal. La directiva NIS2, que va entrar en vigor el 2024, amplia les obligacions de ciberseguretat a molts més tipus d'organització. Als sectors regulats (sanitat, serveis financers, administració pública) s'hi sumen normatives específiques com l'Esquema Nacional de Seguretat (ENS), obligatori per a totes les administracions públiques espanyoles.

A Catalunya, l'Autoritat Catalana de Protecció de Dades (APDCAT) és l'organisme supervisor per al sector públic de la Generalitat i els ens locals. El març de 2026, l'APDCAT va publicar conjuntament amb l'AEPD i altres autoritats autonòmiques un decàleg per a la contractació de plataformes educatives digitals, que fixa criteris comuns sobre residència de dades, encàrrec del tractament i protecció de menors. Aquest document marca el llistó per a centres educatius, universitats i ajuntaments a l'hora d'escollir eines digitals, videoconferència inclosa.

El resultat: les organitzacions no poden tractar la seguretat de les videotrucades com un afegit. Cal integrar-la dins l'estratègia global de ciberseguretat des del primer dia.

Les amenaces més habituals

Entendre els riscos t'ajuda a avaluar si la plataforma actual els cobreix. Aquests són els que més importen.

Segrest de reunions

Participants no convidats que entren en una trucada, un fenomen conegut com Zoombombing arran de la onada d'incidents del 2020. Continua sent un risc en qualsevol plataforma que es basi en enllaços compartits sense controls d'accés addicionals. La magnitud va des d'interrupcions molestes fins a l'exposició de converses confidencials.

Atacs man-in-the-middle

Si la connexió entre el participant i el servidor no està ben xifrada, un atacant situat a la xarxa pot interceptar i fins i tot alterar la comunicació. Per això el xifratge de transport (TLS) és el mínim exigible, i per això el xifratge d'extrem a extrem importa en trucades sensibles.

Robatori de credencials

Contrasenyes febles o robades continuen sent un dels vectors d'atac més comuns. En el cas de la videoconferència, això vol dir atacants que accedeixen a sales de reunió, enregistraments o panells d'administració. L'autenticació de múltiple factor i els tòkens d'accés amb àmbit limitat redueixen el risc dràsticament.

Interceptació de fluxos sense xifrar

Quan els fluxos d'àudio i vídeo viatgen per internet sense xifratge, qualsevol persona amb accés a la xarxa pot capturar-los. Les plataformes modernes fan servir DTLS-SRTP (Datagram Transport Layer Security, Secure Real-time Transport Protocol) per xifrar els mitjans en trànsit, però no totes l'activen per defecte.

Enregistraments i fuites de dades

Els enregistraments desats sense xifratge, o accessibles sense autenticació adequada, són una responsabilitat. Si un atacant accedeix al servidor d'enregistraments, accedeix a totes les converses que hi ha emmagatzemades.

Phishing a través de convidats a reunions

Els atacants envien convidats falsos que imiten plataformes legítimes i dirigeixen els destinataris a llocs maliciosos dissenyats per robar credencials. És especialment efectiu perquè els convidats a reunions són quotidians i sovint es cliquen sense pensar-hi.

Com protegeix el xifratge les videotrucades

El xifratge és la base de la seguretat en videoconferència. Hi ha tres capes que cal entendre, cadascuna amb un propòsit diferent.

Xifratge de transport (TLS i DTLS-SRTP)

Transport Layer Security (TLS) protegeix les dades de senyalització (la informació que s'intercanvia quan es configura i es gestiona una trucada). DTLS-SRTP protegeix els fluxos d'àudio i vídeo durant la transmissió.

Junts, aquests protocols impedeixen que ningú a la xarxa pugui interceptar o manipular la trucada. TLS 1.3 és l'estàndard actual; les plataformes que encara executen TLS 1.0 o 1.1 fan servir protocols amb vulnerabilitats conegudes.

El xifratge de transport funciona punt a punt. Això vol dir que el servidor de mitjans (la infraestructura que enruta els fluxos entre participants) pot accedir tècnicament al contingut sense xifrar mentre hi passa. Per a la majoria de reunions de negoci, aquest nivell és suficient. Per a comunicacions altament sensibles, cal la capa següent.

Xifratge d'extrem a extrem (E2EE)

El xifratge d'extrem a extrem afegeix una capa per sobre del xifratge de transport. Amb E2EE, els mitjans es xifren al dispositiu de l'emissor i només es poden desxifrar als dispositius dels destinataris. El servidor del mig, encara que el gestioni el proveïdor de la plataforma, només veu text xifrat. No pot accedir, inspeccionar ni enregistrar el contingut.

En una implementació ben feta, cada participant genera les claus de xifratge localment. Quan algú marxa, les claus es renoven perquè no pugui desxifrar futures comunicacions (forward secrecy). Quan algú nou entra, no pot desxifrar res del que s'ha dit abans (backward secrecy).

L'E2EE té costos. Com que el servidor no pot accedir al contingut, funcionalitats com l'enregistrament al núvol, la transcripció en directe o els subtítols generats amb IA no estan disponibles en mode E2EE. Cada organització ha de decidir quines sessions requereixen E2EE i quines poden funcionar amb xifratge de transport i funcionalitats de servidor.

Xifratge en repòs

El xifratge en repòs protegeix les dades emmagatzemades (enregistraments, xats, fitxers compartits) mentre estan al servidor. AES-256 és l'estàndard del sector. Sense xifratge en repòs, qualsevol que accedeixi al sistema d'emmagatzematge, ja sigui per una bretxa, per permisos mal configurats o per una amenaça interna, pot llegir el contingut desat.

Autenticació i control d'accés

El xifratge protegeix les dades. El control d'accés protegeix la reunió.

Autenticació basada en tòkens

En lloc de dependre només d'enllaços de reunió, les plataformes segures fan servir tòkens: credencials amb vida curta i àmbit limitat que atorguen accés a una sessió concreta per a un participant concret. Els tòkens es poden configurar perquè caduquin després d'un temps, que estiguin vinculats a una identitat específica i que tinguin permisos restringits.

Aquest enfocament és especialment important per a plataformes que s'integren via API, on l'accés a la reunió es gestiona programàticament.

Control d'accés per rols (RBAC)

RBAC assigna permisos diferents a participants diferents. Un amfitrió pot silenciar altres, compartir pantalla i iniciar enregistraments. Un participant estàndard pot veure el contingut compartit i fer servir el xat. Un moderador queda en un punt intermedi.

El més important és que aquests rols s'apliquin al costat del servidor, no al costat del client. Si una plataforma només aplica els rols a la interfície d'usuari, un atacant tècnic podria saltar-los. Aplicació al servidor vol dir que el servidor refusa executar accions que el rol del participant no permet.

Controls a nivell de reunió

Controls pràctics com sales d'espera (on l'amfitrió admet manualment els participants), bloqueig de la reunió (impedir noves entrades a partir d'un moment) i identificadors únics per sessió redueixen el risc d'accés no autoritzat.

Infraestructura i residència de dades

On es processen i es desen les dades de la teva videoconferència no és només una decisió operativa: és una decisió de seguretat.

Sota el RGPD, transferir dades personals fora de la UE requereix mecanismes legals específics (com les clàusules contractuals tipus) i avaluacions de risc. Per a organitzacions de sectors regulats (sanitat, legal, financer, administració pública), els requisits de residència poden ser encara més estrictes.

Això vol dir que la ubicació física dels servidors de la plataforma importa. Una plataforma allotjada sobre infraestructura d'hyperscaler nord-americà (AWS, Azure, GCP) processa dades a través de sistemes de titularitat nord-americana, encara que el centre de dades estigui a la UE. La Sentència Schrems II del Tribunal de Justícia de la UE va deixar clar que les transferències a proveïdors subjectes a lleis extraterritorials com la CLOUD Act nord-americana generen riscos legals, i per això moltes organitzacions europees exigeixen infraestructura que sigui alhora ubicada a la UE i operada per proveïdors europeus.

Per a centres educatius, universitats i administracions locals a Catalunya, això és especialment rellevant: el decàleg de l'APDCAT i l'AEPD del març de 2026 recorda que les transferències internacionals requereixen garanties específiques i que la privacitat dels menors exigeix un tractament especialment curós.

Checklist de seguretat per a organitzacions

Passes concretes per millorar la teva postura de seguretat en videoconferències.

1. Verifica el xifratge de la plataforma. Comprova si suporta TLS 1.3, si els fluxos fan servir DTLS-SRTP i si hi ha E2EE disponible per a trucades sensibles. Demana especificitats al teu proveïdor. "Fem servir xifratge" no n'hi ha prou.
2. Activa l'autenticació de múltiple factor. Per a tots els comptes que poden crear o gestionar reunions, l'MFA ha de ser obligatori. Les aplicacions d'autenticació són més segures que els codis per SMS.
3. Fes servir identificadors i codis únics per reunió. No reutilitzis mai enllaços per sessions recurrents. Genera IDs nous i requereix contrasenyes o tòkens per cada sessió.
4. Restringeix l'accés als enregistraments. Els enregistraments han d'estar xifrats en repòs i accessibles només a usuaris autoritzats. Estableix polítiques de retenció i esborra'ls quan deixin de ser necessaris.
5. Aplica permisos per rols. Els amfitrions haurien de controlar qui pot compartir pantalla, fer servir el micròfon, accedir al xat i descarregar fitxers. Aquests permisos s'han d'aplicar al servidor.
6. Mantén el programari actualitzat. Els retards en aplicar pedaços de seguretat deixen vulnerabilitats conegudes obertes. Activa les actualitzacions automàtiques quan sigui possible.
7. Forma el teu equip. Els atacs de phishing amb convidats a reunions són habituals. La plantilla ha de saber com verificar convidats legítims i com denunciar els sospitosos.
8. Revisa els acords de tractament de dades. Sota el RGPD, el proveïdor de videoconferència és un encarregat del tractament. Necessites un Contracte d'Encàrrec del Tractament (DPA) que especifiqui quines dades es recullen, on es desen, quant de temps es retenen i qui són els subencarregats.
9. Comprova la residència de dades. Has de saber on són els servidors del proveïdor i qui és el titular de la infraestructura. Especialment important per a organitzacions subjectes a RGPD, LOPDGDD, ENS o NIS2.
10. Prova la resposta a incidents. Has de conèixer el calendari de notificació del teu proveïdor. Sota el RGPD, les bretxes s'han de notificar a l'autoritat de control en 72 hores. El procés intern ha de donar resposta a aquest termini.

Com avaluar la seguretat d'una plataforma

Quan comparis opcions, fes aquestes preguntes al proveïdor:

• Quins protocols de xifratge fa servir per a la senyalització, el transport de mitjans i l'emmagatzematge?
• Hi ha E2EE disponible? Com es generen, intercanvien i renoven les claus?
• On està la infraestructura de producció? Qui n'és el titular?
• Ofereix un DPA? Qui són els subencarregats?
• Quins mètodes d'autenticació suporta (tòkens, SSO, MFA)?
• Els rols s'apliquen al servidor o només al client?
• Quines certificacions té (ISO 27001, SOC 2, ENS, etc.)?
• Quin és el procés de resposta i notificació d'incidents?
• Es poden xifrar els enregistraments en repòs i limitar-hi l'accés?
• Hi ha un whitepaper de seguretat o un centre de confiança públic?

L'enfocament de seguretat de Digital Samba

L'arquitectura de seguretat de Digital Samba està documentada al Security White Paper publicat el març de 2026. Els detalls:

• Xifratge en trànsit: Totes les connexions fan servir TLS 1.3 quan el client ho suporta, amb TLS 1.2 com a mínim. TLS 1.0 i 1.1 estan desactivats. Els fluxos de mitjans es protegeixen amb DTLS-SRTP. HSTS (HTTP Strict Transport Security) s'aplica a tots els serveis web.
• Xifratge en repòs: Totes les dades desades (enregistraments, missatges de xat, fitxers compartits i còpies de seguretat) es xifren amb AES-256-GCM.
• Xifratge d'extrem a extrem: L'E2EE està disponible com a funcionalitat opcional. Quan s'activa, els mitjans es xifren al dispositiu de cada participant amb AES-256-GCM mitjançant la Web Crypto API abans de sortir del navegador. El servidor de mitjans (un Selective Forwarding Unit o SFU) només rep i retransmet text xifrat. No pot inspeccionar-lo, transcodificar-lo ni analitzar-ne el contingut: és una restricció arquitectònica, no una política. Les claus es renoven quan els participants entren o surten, garantint forward i backward secrecy. Un codi de seguretat en sessió permet als participants verificar que tots comparteixen el mateix context de xifratge.
• Control d'accés: La plataforma suporta RBAC (amfitrió, moderador, participant) aplicat al servidor. L'API fa servir tòkens d'àmbit limitat amb caducitat configurable per a l'autenticació a nivell de sessió. Els clients gestionen el cicle de vida de les claus d'API a través del dashboard de desenvolupador.
• Infraestructura: La producció s'executa a Leaseweb Països Baixos (Amsterdam) i Scaleway (França, Països Baixos, Polònia), tota infraestructura ubicada a la UE i de titularitat europea. Les còpies de seguretat i la recuperació de desastres són a Leaseweb Alemanya (Frankfurt). Cap dada d'aplicació ni de sessió es desa fora de la UE. El DNS es gestiona via AWS Route 53 només per a la resolució de noms; no hi ha dades d'aplicació implicades.
• Compliment: Digital Samba és encarregat del tractament sota el RGPD i té un Delegat de Protecció de Dades designat. Hi ha un DPA disponible. Es mantenen Registres d'Activitats de Tractament. L'empresa està construint un Sistema de Gestió de la Seguretat de la Informació (SGSI) prenent la ISO 27001:2022 com a marc de referència.
• Monitorització: Còpies diàries amb 90 dies de retenció i proves trimestrals de restauració. La resposta a incidents segueix una classificació de quatre nivells de gravetat, amb notificació al CISO en una hora per a incidents crítics i notificació a l'autoritat de control en 72 hores per a bretxes de dades personals.

Consulta el Security White Paper complet o contacta amb l'equip comercial per obtenir un DPA o documentació addicional de compliment.

Preguntes freqüents