今年初め、独立系ベンダーが実施した定期的な侵入テストにおいて、特定の会議メタデータへのアクセスに影響を及ぼす脆弱性が発見されました。同時期に、独立系のセキュリティ研究者からも、この同じ攻撃経路に関する調査結果の開示について連絡がありました。これらの報告を踏まえ、当社は是正措置を講じ、その後、外部の侵入テスト業者による正式な検証を経て、当該脆弱性が適切に修正されたことが確認されました。

しかし最近、当社の技術スタックの同じ部分に関連する、新たに発見された別の攻撃経路があることが判明しました。「単一の脆弱性が6か月間未修正のままだった」という主張とは異なり、当社の独立したペネトレーションテスト業者からは、これらが2つの異なる攻撃ベクトルであったことが正式に確認されています。最初の脆弱性は数か月前に完全に修正され、検証も完了していました。今回の事案は、これまで知られていなかった二次的な攻撃手法によるものでした。

「問題を発見した際には直ちに対応する」という当社の標準的なセキュリティ方針に基づき、2回目の修正パッチを適用し、発見から24時間以内にこの新たな攻撃経路を完全に封じ込めました。

これら2つの異なるインシデントに共通していたのがFirebaseであったため、今後同様の脆弱性が発生するリスクを確実に排除するため、追加措置として、当社の技術スタックからFirebaseを直ちに完全に削除することとしました。

完全な透明性を確保するため、両インシデント発生時の当社の対応手順および即時の是正措置を確認する、ペネトレーションテスト委託先による署名入り証明書を、お客様および見込み客の皆様のご要望に応じて、[email protected] にてご提供いたします。


何が利用可能で、何が利用不可能だったか

漏洩の恐れがあったデータは、メタデータに厳密に限定されていました。具体的には、会議識別子、会議ID（Google Meet またはMicrosoft Teams の通話に参加するために使用されるリンク）、および参加者のメールアドレスとドメインです。

重要な点として、パスワード、録音データ、文字起こし、AIが生成したメモ、およびアカウントや請求に関するデータには一切アクセスできませんでした。これらの情報は、この脆弱性を通じてアクセスされることはなく、そもそも当社のインフラストラクチャのこの部分には保存されていません。当社はすべての個人情報を極めて厳重に取り扱っていますが、漏洩したデータには、機密性の高い個人データや会話の実際の内容は含まれていませんでした。

実際的な影響という点では、深刻度の異なる2つの明確な傾向が見られました：

まず、公開された会議IDを使用することで、ユーザーが明示的に公開を選択した会議に限り、その議事録やAIメモを検索することが可能です。tl;dv での公開共有はオプトイン設定となっており、デフォルトではオフになっています。チーム外にも会議を公開したい場合は、顧客が意図的にこの設定を有効にする必要があります。

これらのユーザーは意図的に公開リンクの共有を有効にしていたため、このコンテンツは設計上、リンクを所持する者なら誰でもアクセスできる状態になっていました。こうした公開会議の場合であっても、コンテンツはtl;dvの通常の閲覧や検索では表示されず、アクセスするには技術に精通したハッカーによる特定のプログラム操作が必要でした。

第二に、ごく一部のケースにおいて、あるユーザーが不慣れな名前を使用し、主催者による手動での承認を経て、会議のURLを入手し、ライブルームに参加することができていました。緊急の対策の一環として、このアクセス経路を完全に保護し、この方法で会議のURLが入手できなくなるよう措置を講じました。


より広い文脈

ここ数ヶ月、AIおよびSaaS製品全般にわたる公開共有設定に関して、同様の調査結果が明らかになっています。 Anthropic Google検索を通じて、ClaudeおよびそのMCPエコシステム全体で公開状態が露呈していたアーティファクトに対処しました。Lovableと Zoom は、いずれも、ユーザーが設定した公開設定によって、ユーザーが想定していたよりも広範囲に情報が公開されてしまった事例に対処してきました。これは、業界全体として認識が深まりつつあるUX上の問題の一種です。

共通する点は、「公開」という言葉がユーザーによって異なる意味を持つ可能性があるため、公開設定を選択する際のユーザー体験（UX）において、その選択がもたらす結果を明確に伝える必要があるということです。私たちは、自社製品においてこれらの選択肢をどのようにさらに効果的に提示できるかについて、改めて検討を進めており、まもなく変更をリリースする予定です。


今後、私たちが取り組んでいくこと

セキュリティは、どのプラットフォームにとっても「到達点」というものではありません。当社は、独立したテストへの投資、発見された問題の迅速な是正、そして顧客データの保護手法の継続的な進化に、引き続き注力しています。

また、この取り組みにおいて、サイバーセキュリティコミュニティ全体が果たす役割も認識しています。この新たな攻撃経路を発見した研究者は、大規模な組織における脆弱性を次々と発見してきた実績を持つ、極めて高いスキルを持つ専門家です。トップクラスの人材による精査は、ソフトウェアプラットフォームの拡大において避けられない要素であるだけでなく、当社の防御体制をより強固で回復力のあるものへと押し上げるために不可欠な原動力でもあります。

個人的な話になりますが、今年初めにその研究者から最初に連絡をいただいた後、継続的に状況を報告すべきだったと認識しており、このコミュニケーションの齟齬については全責任を負います。今後は、脆弱性の開示および対応プロセスを改善し、外部からのセキュリティ報告すべてが、相応の迅速な対応、敬意、そして明確なフォローアップを受けられるよう努めてまいります。


お問い合わせ

アカウントに関するご質問は、以下のメールアドレスまでお問い合わせください。 [email protected]までメールでお問い合わせください。


アラン・ベッタレル
CTO、tl;dv

追伸：そうそう、私たちのチームも今年初め、社内で小さなワールドカップ予想アプリを作りました。エンジニアではないチームメンバーが、ただ楽しみのために手早くコーディングし、サブドメイン上でホストしたものです。顧客データや本番システムとは一切連携しておらず、その後、そのアプリへのアクセス権限を厳格化しました。