All’inizio di quest’anno, un test di penetrazione di routine condotto da un fornitore indipendente ha individuato una vulnerabilità che comprometteva l’accesso ad alcuni metadati relativi alle riunioni. Nello stesso periodo, anche un ricercatore indipendente specializzato in sicurezza ci ha contattato per segnalarci alcuni risultati relativi a questo stesso vettore di attacco. Sulla base di tali segnalazioni, abbiamo implementato una misura correttiva, che è stata successivamente convalidata formalmente dalla nostra società esterna incaricata dei test di penetrazione, a conferma del fatto che la vulnerabilità è stata risolta con successo.

Recentemente, tuttavia, siamo venuti a conoscenza di un nuovo vettore di attacco alternativo, scoperto di recente, relativo alla stessa parte del nostro stack tecnologico. Contrariamente a quanto affermato, secondo cui una singola vulnerabilità sarebbe rimasta irrisolta per sei mesi, il nostro fornitore indipendente di servizi di penetration testing ha formalmente attestato che si trattava di due vettori distinti. La vulnerabilità iniziale era stata completamente risolta e verificata mesi fa. Questo recente incidente ha riguardato un metodo di attacco secondario, precedentemente sconosciuto.

In linea con la nostra politica di sicurezza standard, che prevede di intervenire immediatamente ogni volta che viene individuato un problema, abbiamo implementato una seconda correzione e risolto completamente questa nuova vulnerabilità entro 24 ore dalla sua individuazione.

Poiché il denominatore comune tra questi due distinti episodi era Firebase, abbiamo deciso di compiere un ulteriore passo avanti, rimuovendolo immediatamente e definitivamente dal nostro stack tecnologico per eliminare una volta per tutte il rischio di vulnerabilità simili in futuro.

Per garantire la massima trasparenza, è disponibile su richiesta, all’indirizzo [email protected], un’attestazione firmata dal nostro fornitore di servizi di penetration testing che conferma il nostro comportamento procedurale e l’immediata risoluzione dei problemi verificatisi in entrambi gli incidenti, sia per i clienti attuali che per quelli potenziali.


Cosa era accessibile e cosa non lo era

I dati a rischio erano strettamente limitati ai metadati: identificativi delle riunioni, ID delle conferenze (i link utilizzati per partecipare alle chiamate su Google Meet o Microsoft Teams ) e indirizzi e-mail e domini dei partecipanti.

È fondamentale sottolineare che non è stato possibile accedere a password, registrazioni, trascrizioni, note generate dall’intelligenza artificiale né a dati relativi agli account e alla fatturazione. Nessuna di queste informazioni era raggiungibile tramite questa vulnerabilità, né, del resto, è mai stata archiviata in questa parte della nostra infrastruttura. Pur trattando tutte le informazioni personali con la massima serietà, i dati esposti non includevano dati personali altamente sensibili né i contenuti effettivi di alcuna conversazione.

In termini di impatto concreto, si sono registrati due vettori distinti, di gravità diversa:

In primo luogo, utilizzando gli ID delle riunioni resi pubblici, un utente potrebbe consultare la trascrizione o le note generate dall’IA esclusivamente per quelle riunioni che gli utenti hanno esplicitamente scelto di rendere pubbliche. La condivisione pubblica su tl;dv è un’impostazione facoltativa, disattivata per impostazione predefinita, che deve essere abilitata intenzionalmente da un cliente che desideri che una riunione sia visibile al di fuori del proprio team.

Poiché questi utenti avevano intenzionalmente abilitato la condivisione pubblica dei link, tali contenuti erano, per come era stato progettato il sistema, già accessibili a chiunque fosse in possesso del link. Anche nel caso di queste riunioni pubbliche, i contenuti non venivano visualizzati tramite la normale navigazione o ricerca su tl;dv: per accedervi erano necessarie specifiche azioni a livello di programmazione da parte di un hacker esperto.

In secondo luogo, in alcuni rari casi, l’utente è riuscito a ottenere gli URL delle riunioni e ad accedere alle sale live utilizzando un nome sconosciuto e venendo ammesso manualmente dall’organizzatore. Nell’ambito della nostra soluzione immediata, abbiamo reso completamente sicuro questo punto di accesso per garantire che gli URL delle riunioni non possano più essere ottenuti in questo modo.


Il contesto più ampio

Negli ultimi mesi, le impostazioni di condivisione pubblica relative ai prodotti di intelligenza artificiale (AI) e SaaS hanno evidenziato risultati simili. Anthropic Abbiamo affrontato il problema degli artefatti pubblici esposti su Claude e nel suo ecosistema MCP tramite la Ricerca Google. Sia Lovable che Zoom hanno entrambi affrontato casi in cui le impostazioni pubbliche configurate dagli utenti hanno determinato una visibilità più ampia di quanto gli utenti avessero previsto. Si tratta di una categoria di problemi relativi all'esperienza utente (UX) su cui il settore sta acquisendo una maggiore consapevolezza.

Il filo conduttore: il termine “pubblico” può assumere significati diversi a seconda degli utenti, e l’esperienza utente relativa all’attivazione della visibilità pubblica deve rendere chiare e inequivocabili le conseguenze di tale scelta. Stiamo valutando con un occhio nuovo come presentare ancora meglio queste opzioni nel nostro prodotto e prevediamo di implementare le modifiche a breve.


Cosa faremo d'ora in poi

La sicurezza non è un traguardo definitivo per nessuna piattaforma. Continuiamo a investire in test indipendenti, nella risoluzione rapida di qualsiasi problema emerso e nella continua evoluzione delle nostre strategie di protezione dei dati dei clienti.

Riconosciamo inoltre il ruolo che la più ampia comunità della sicurezza informatica svolge in questo percorso. Il ricercatore che ha individuato questo vettore alternativo è un esperto altamente qualificato, con una comprovata esperienza nell’individuazione di vulnerabilità all’interno di organizzazioni di grandi dimensioni. L’analisi da parte di talenti di prim’ordine non è solo una parte inevitabile della crescita di una piattaforma software, ma è una forza necessaria che spinge le nostre difese a diventare più forti e resilienti.

A titolo personale, riconosco che avrei dovuto tenere aggiornato il ricercatore dopo il suo primo contatto all’inizio di quest’anno, e mi assumo la piena responsabilità di tale mancanza di comunicazione. In futuro, perfezioneremo le nostre procedure di segnalazione e gestione delle vulnerabilità per garantire che tutte le segnalazioni di sicurezza provenienti dall’esterno ricevano l’attenzione immediata, il rispetto e un chiaro seguito che meritano.


Come raggiungerci

Per qualsiasi domanda relativa al proprio account, inviare un’e-mail all’indirizzo [email protected].


Allan Bettarel, CTO di
, tl;dv

P.S. Sì, all’inizio di quest’anno il nostro team ha anche realizzato una piccola app interna per le previsioni sui Mondiali, sviluppata per divertimento da colleghi non ingegneri e ospitata su un sottodominio. Non era collegata in alcun modo ai dati dei clienti né ai sistemi di produzione e, da allora, ne abbiamo rafforzato le misure di sicurezza relative all’accesso.