Na początku tego roku podczas rutynowego testu penetracyjnego przeprowadzonego przez niezależnego dostawcę wykryto lukę w zabezpieczeniach, która miała wpływ na dostęp do niektórych metadanych spotkań. W tym samym okresie skontaktował się z nami również niezależny badacz ds. bezpieczeństwa, aby poinformować o ustaleniach dotyczących tego samego wektora ataku. Na podstawie tych zgłoszeń wdrożyliśmy środki naprawcze, a poprawka została później formalnie zweryfikowana przez naszą zewnętrzną firmę zajmującą się testami penetracyjnymi, co potwierdziło, że luka została skutecznie usunięta.

Niedawno dowiedzieliśmy się jednak o nowo odkrytej, alternatywnej ścieżce ataku związanej z tą samą częścią naszego stosu technologicznego. Wbrew twierdzeniom, jakoby jedna luka pozostawała nieusunięta przez sześć miesięcy, nasz niezależny dostawca usług testów penetracyjnych oficjalnie potwierdził, że były to dwa odrębne wektory ataku. Pierwotna luka została całkowicie usunięta i zweryfikowana już kilka miesięcy temu. Ten ostatni incydent dotyczył drugorzędnej metody ataku, która wcześniej nie była znana.

Zgodnie z naszą standardową polityką bezpieczeństwa, polegającą na natychmiastowym podejmowaniu działań w przypadku wykrycia jakiegokolwiek problemu, wdrożyliśmy drugą poprawkę i całkowicie zlikwidowaliśmy ten nowy wektor ataku w ciągu 24 godzin od jego wykrycia.

Ponieważ wspólnym mianownikiem obu tych odrębnych incydentów była platforma Firebase, podejmujemy dodatkowe działania polegające na natychmiastowym i całkowitym wycofaniu jej z naszego stosu technologicznego, aby definitywnie wyeliminować ryzyko wystąpienia podobnych luk w zabezpieczeniach w przyszłości.

W celu zapewnienia pełnej przejrzystości podpisane oświadczenie naszego dostawcy usług testów penetracyjnych, potwierdzające nasze postępowanie zgodnie z procedurami oraz natychmiastowe podjęcie działań naprawczych w obu przypadkach, jest dostępne na żądanie dla klientów i potencjalnych klientów pod adresem [email protected].


Co było dostępne, a co nie

Dane narażone na wyciek ograniczały się wyłącznie do metadanych: identyfikatorów spotkań, identyfikatorów konferencji (linków służących do dołączenia do połączeń na stronach Google Meet lub Microsoft Teams ) oraz adresów e-mail i domen uczestników.

Co najważniejsze, nie uzyskano dostępu do żadnych haseł, nagrań, transkrypcji, notatek generowanych przez sztuczną inteligencję ani danych dotyczących kont i rozliczeń. Żadna z tych informacji nie była dostępna za pośrednictwem tej luki w zabezpieczeniach, a ponadto nie są one w ogóle przechowywane w tej części naszej infrastruktury. Chociaż traktujemy wszystkie dane osobowe z najwyższą powagą, ujawnione dane nie obejmowały szczególnie wrażliwych danych osobowych ani rzeczywistej treści jakichkolwiek rozmów.

Jeśli chodzi o praktyczne skutki, można wyróżnić dwa odrębne kierunki, różniące się pod względem nasilenia:

Po pierwsze, korzystając z ujawnionych identyfikatorów spotkań, osoba trzecia mogłaby uzyskać dostęp do transkrypcji lub notatek generowanych przez sztuczną inteligencję wyłącznie w przypadku spotkań, które użytkownicy wyraźnie zdecydowali się upublicznić. Publiczne udostępnianie na stronie tl;dv jest opcją, którą należy włączyć samodzielnie; domyślnie jest ona wyłączona i musi zostać celowo włączona przez klienta, który chce, aby spotkanie było widoczne poza jego zespołem.

Ponieważ użytkownicy ci celowo włączyli opcję publicznego udostępniania linków, treści te były z założenia już dostępne dla każdego, kto posiadał link. Nawet w przypadku tych publicznych spotkań treści nie były wyświetlane w ramach zwykłego przeglądania lub wyszukiwania na stronie tl;dv: uzyskanie do nich dostępu wymagało podjęcia konkretnych działań programistycznych przez hakera posiadającego odpowiednią wiedzę techniczną.

Po drugie, w nielicznych przypadkach dana osoba była w stanie uzyskać adresy URL spotkań i wejść do pokoi na żywo, posługując się nieznaną nazwą i uzyskując ręczne dopuszczenie od organizatora. W ramach natychmiastowego rozwiązania całkowicie zabezpieczyliśmy ten punkt dostępu, aby uniemożliwić uzyskiwanie adresów URL spotkań w ten sposób.


Szerszy kontekst

W ostatnich miesiącach podobne wyniki pojawiły się w odniesieniu do ustawień udostępniania publicznego w produktach opartych na sztucznej inteligencji i modelach SaaS. Anthropic Zajęliśmy się kwestią publicznie dostępnych artefaktów w Claude i jego ekosystemie MCP za pośrednictwem wyszukiwarki Google. Zarówno Lovable, jak i Zoom zajęły się przypadkami, w których ustawienia publiczne skonfigurowane przez użytkowników powodowały szerszą widoczność treści, niż użytkownicy się spodziewali. Jest to kategoria problemów związanych z doświadczeniem użytkownika (UX), na którą branża zwraca coraz większą uwagę.

Wspólny mianownik: pojęcie „publiczne” może oznaczać różne rzeczy dla różnych użytkowników, a doświadczenie użytkownika związane z wyrażeniem zgody na publiczną widoczność musi jasno przedstawiać związane z tym konsekwencje. Na nowo przyglądamy się temu, jak jeszcze lepiej zaprezentować te opcje w naszym produkcie, i spodziewamy się wkrótce wprowadzić zmiany.


Nasze dalsze działania

Bezpieczeństwo nie jest dla żadnej platformy celem ostatecznym. Nieustannie inwestujemy w niezależne testy, szybkie usuwanie wszelkich wykrytych problemów oraz ciągłe udoskonalanie sposobów ochrony danych klientów.

Doceniamy również rolę, jaką w tym procesie odgrywa szeroko pojęta społeczność zajmująca się cyberbezpieczeństwem. Badacz, który zidentyfikował ten alternatywny wektor ataku, jest wysoce wykwalifikowanym ekspertem, który ma na swoim koncie wykrywanie luk w zabezpieczeniach w ogromnych organizacjach. Dokładna analiza przeprowadzana przez najlepszych specjalistów to nie tylko nieunikniony element rozwoju platformy oprogramowania, ale także niezbędna siła, która sprawia, że nasze zabezpieczenia stają się silniejsze i bardziej odporne.

Z osobistego punktu widzenia zdaję sobie sprawę, że powinienem był na bieżąco informować badacza po jego pierwszym kontakcie na początku tego roku i biorę pełną odpowiedzialność za tę lukę w komunikacji. W przyszłości będziemy udoskonalać nasze procedury zgłaszania luk w zabezpieczeniach i reagowania na nie, aby zapewnić, że wszystkie zewnętrzne zgłoszenia dotyczące bezpieczeństwa spotkają się z natychmiastową uwagą, szacunkiem i jasnymi działaniami następczymi, na jakie zasługują.


Jak się z nami skontaktować

W przypadku jakichkolwiek pytań dotyczących konta prosimy o wysłanie wiadomości e-mail na adres [email protected].


Allan Bettarel, dyrektor ds. technologii (CTO) w firmie
, tl;dv

P.S. Tak, nasz zespół stworzył też na początku tego roku małą wewnętrzną aplikację do typowania wyników mistrzostw świata – została ona napisana dla zabawy przez kolegów z zespołu spoza działu inżynierii i udostępniona w subdomenie. Nie miała ona żadnego związku z danymi klientów ani systemami produkcyjnymi, a od tamtej pory zaostrzyliśmy zasady dostępu do niej.