━━━━━━━━━━━━━━━━━━━━
追記（2026年8月13日)
━━━━━━━━━━━━━━━━━━━━
本記事の内容について、影響範囲の詳細が明らかになりましたので、今後の対応方針とあわせて以下に追記いたします。

▼ 今回の影響範囲
─────────────────
今回の脆弱性により、悪意のある第三者が見ることができた可能性のあるデータは、会議の共有設定によって異なります。

まず、一部の会議について、以下のデータが露出しました。
・一部の録画ユーザーのメールアドレス
・一部の会議ID(Google MeetまたはMicrosoft Teams等の通話に参加するためのリンク)
・一部の会議識別子(tl;dv上での共有に使われるID)
会議識別子の露出により、録画のURLの特定が可能になりますが、デフォルトでは全てのtl;dvの録画は非公開設定（アクセス許可のあるtl;dvユーザーのみがアクセス可能）となっています。ただし、録画の公開設定を「リンクを知っていれば誰でもアクセス可能」な公開設定に変更されていた場合に限り、会議の内容(録画・文字起こし・AI要約など)および招待参加者のメールアドレスもアクセス可能な状態であった可能性がございます。

8月5日時点では、非公開設定時においても録画を行った方以外の参加者のメールアドレスの露出について言及しましたが、非公開設定時においては、録画ユーザーのメールアドレス以外が露出した事実は一切ないことが判明しました。

なお、対象会議のうち、日本のお客様において「リンクを知っていれば誰でもアクセス可能」な公開設定が有効であった会議は36件でした。そのうち、会議の内容（録画・文字起こし・AI要約など）がアクセス可能な状態にあったのは4件のみでした。残りの32件については、会議タイトルおよび招待参加者のメールアドレスへアクセス可能な状態でありましたが、録画等の会議内容自体へのアクセスはできない状態でした。

▼ 今後の対応
─────────────────
メールアドレス、会議ID、会議識別子、会議内容が露出した可能性のある有料プランのご利用者様については、アカウント管理者様宛に、2026年8月15日（UTC）までに、当社より個別にどのデータが露出した可能性があるかをご連絡いたします。

▼ お客様にご対応いただきたいこと
─────────────────
定期的に開催される会議については、会議IDが判明すると、第三者が会議への参加を試みることが可能になります。安全のため、該当する会議のリンクを再発行いただくことをお勧めいたします。

本件に関するご質問がございましたら、[email protected]宛にご連絡ください。



━━━━━━━━━━━━━━━━━━━━
第一報 (2026年8月5日)
━━━━━━━━━━━━━━━━━━━━
今年初め、当社がペネトレーションテストを委託している独立系業者であるAbicom社による定期的な評価と、ある独立系セキュリティ研究者からの責任ある開示を通じて、特定の会議メタデータへのアクセスに関わる脆弱性が見つかりました。これらの報告を受けて是正措置を実施し、その後Abicom社による正式な検証で、脆弱性が完全に修正されたことが確認されています。

しかし最近、当社のシステム基盤の同じ部分に関連する、別の攻撃経路があることが判明しました。darkreading.comの記事が主張する「単一の脆弱性が6か月間未修正のままだった」という内容とは異なり、当社が委託しているペネトレーションテスト業者からは、これらが2つの異なる攻撃ベクトルであったことが正式に確認されています。最初の脆弱性は数か月前に完全に修正され、検証も完了していました。今回の事案は、未知の二次的な攻撃手法によるものでした。

問題を発見した際には直ちに対応するという当社の標準的なセキュリティ方針に基づき、発見から24時間以内に2回目の修正パッチを適用し、この新たな脆弱性への対応を完了しました。

これら2つの異なるインシデントに共通していたのはFirebaseでした。今後同様の脆弱性が発生するリスクを確実に排除するため、追加措置として、当社のシステム基盤からFirebaseを直ちに完全に削除することとしました。

両インシデントへの対応手順と迅速な是正措置を証明する、Abicom社の署名入り証明書を、ご希望のお客様・見込み客の皆様へ個別にご提供いたします。ご希望の方は[email protected] までお問い合わせください。

アクセスできた可能性のあるデータについて

漏洩の可能性があったデータは、メタデータのみに限られていました。具体的には、会議識別子、会議ID(Google MeetまたはMicrosoft Teamsの通話に参加するために使用されるリンク)、および参加者のメールアドレスとドメインです。

パスワード、録音データ、文字起こし、AIが生成したメモ、およびアカウントや請求に関するデータには一切アクセスできませんでした。これらの情報は、指摘されている脆弱性を通じてアクセスされることはなく、当社のインフラストラクチャのこの部分には保存されていません。当社はすべての個人情報を極めて厳重に取り扱っています。漏洩の可能性があったデータには、機密性の高い個人データや会話の実際の内容は含まれていませんでした。

実際の影響としては、深刻さの異なる2つのパターンがありました

まず、tl;dvでは通常、会議はtl;dvのアカウントを持ち、共有を許可されたユーザーしかアクセスできません。ただしアカウントを持たない相手にも会議を共有できるよう、リンクを知っていれば誰でもアクセスできる「URL共有」機能があり、これはオプトイン設定でデフォルトではオフになっています。チーム外に会議を公開したい場合は、顧客が意図的にこの設定を有効にする必要があります。

この機能を有効にしている会議であっても、通常はそのURLを教えられた相手しかアクセスできません。今回の脆弱性は、本来は知り得ないはずのこの会議識別子(URLに使われるID)を、技術に精通したハッカーが特定のプログラム操作によって外部から特定できてしまう、というものでした。tl;dv上には「公開中の会議一覧」を閲覧・検索する機能もないため、通常この方法でURLを見つけることはできません。

第二に、ごく一部のケースでは、あるユーザーが(脆弱性を通じて入手した)会議のURLを使ってWeb会議への参加をリクエストしたところ、主催者が悪意のあるユーザーだと気づかず手動で参加を承認してしまい、会議に入ることができてしまいました。緊急の対策として、この経路を完全に塞ぎ、今後この方法で会議のURLを入手できないようにしました。

公開設定におけるAI・SaaS業界の課題

ここ数ヶ月、AIおよびSaaS製品全般にわたる公開共有設定に関して、同様の調査結果が明らかになっています。 Anthropicは、ClaudeおよびそのMCPエコシステム全体で、Google検索を通じて公開状態が露呈していたアーティファクトに対処しました。Lovableと Zoom は、いずれも、ユーザーが設定した公開設定によって、ユーザーが想定していたよりも広範囲に情報が公開されてしまった事例に対処してきました。これは、業界全体として認識が深まりつつあるUX上の問題の一種です。

共通する点は、「公開」という言葉がユーザーによって異なる意味を持つ可能性があるため、公開設定を選択する際のユーザー体験(UX)において、その選択がもたらす結果を明確に伝える必要があるということです。当社は、自社製品においてこれらの選択肢をどのようにさらに効果的に提示できるかについて、改めて検討を進めており、まもなく変更をリリースする予定です。

今後、当社が取り組んでいくこと

セキュリティは、どのプラットフォームにおいても改善を続けるべき重要な点です。当社は今後も、独立した機関によるテストへの投資、発見された問題への迅速な対応、顧客データ保護の改善に、積極的に取り組んでまいります。

また、当社のこうした取り組みにおいて、サイバーセキュリティコミュニティ全体が果たす役割も認識しています。この新たな攻撃経路を発見した研究者は、大規模な組織における脆弱性を次々と発見してきた実績を持つ、極めて高いスキルを持つ専門家です。トップクラスの人材による精査は、ソフトウェアプラットフォームの拡大において避けられない要素であるだけでなく、当社の防御体制をより強固で回復力のあるものへと押し上げるために不可欠な原動力でもあります。

今後は、脆弱性の開示および対応プロセスを改善し、外部からのセキュリティ報告すべてが、相応の迅速な対応、敬意、そして明確なフォローアップを受けられるよう努めてまいります。

お問い合わせ

本件に関するご質問は、以下のメールアドレスまでお問い合わせください。
[email protected]

アラン・ベッタレル
CTO、tl;dv