AIノートテイカーの脆弱性、政府・企業のビデオ通話を盗聴可能に

人気のAIノートテイカーに脆弱性が見つかり、ハッカーが利用者の会議通話を盗聴できる状態になっていました。

Tl;dv(Too Long; Didn’t View)は、ユーザーが特に指定しない限り、ビデオ通話に自動的に参加して録画・文字起こしを行う会議アシスタントです。同社のウェブサイトによれば、世界中で200万人以上のユーザーに利用されており、SalesforceやForbes、Cloudflareといった有名企業も導入しているといいます。実際のところ、この宣伝文句はむしろ控えめだったのかもしれません。tl;dvは世界各国の数十の政府機関のほか、大規模な大学や主要組織でも使われていることが今回明らかになりました。というのも、あるハッカーが同社のGoogle Firebase環境に侵入し、こうした顧客の通話の一部を密かに閲覧していたことが判明したためです。

1月下旬、アプリケーションセキュリティの専門家であるBobDaHacker氏は、ちょっとした工夫さえあれば、tl;dvのどのユーザーでも同社のバックエンドであるGoogle Firebase環境にアクセスできることを突き止めました。そしてそこから、他のあらゆるユーザーの会議情報にもアクセスできることが分かりました。BobDaHacker氏はその情報を使って、政府機関や大規模組織が主催する通話を特定し、実際に参加することにも成功しました。

同氏はこの問題を報告しようと試みましたが、うまくいかなかったため、Dark Readingにこの件を知らせました。Dark Readingはその後、広報・マーケティング窓口を通じてtl;dvに連絡を試みましたが、返答は得られませんでした。この問題は、本記事公開時点でも依然として解消されていません。

tl;dv会議アシスタントに存在する脆弱性

ユーザーがtl;dvに登録またはログインすると、アプリのバックエンドであるFirebaseシステム上でセッションIDが割り当てられます。ところが、このセッションIDには通常想定される以上の権限があり、アプリのCloud Firestoreデータベースに対してクエリを実行できてしまいます。

ユーザーが自分のアカウントに紐づくFirestoreデータしか閲覧できないのであれば、まだ問題は小さかったでしょう。実際、基本的なテナント分離により、ほとんどの場合はその通りになっています。ユーザーは他のユーザーの文字起こし記録や録画、チャットなどを閲覧することはできません。ところがこのアプリには一つ、アキレス腱とも言うべき弱点がありました。それが「meetings」コレクションです。

このコンテナ一つだけ分離設定が欠落していたため、tl;dvのユーザーであれば誰でも、tl;dvが招待されている世界中のあらゆるライブ会議通話を検索できてしまいました。また、会議のタイムスタンプや録画状況といった簡易的なメタデータ、さらには主催者のメールアドレスまで取得することが可能でした。

開発者がFirebaseを使ってアプリを構築する際、「Firestoreのセキュリティルールは、Googleが最初に設定するよう案内する項目です」とBobDaHacker氏はDark Readingに語っています。「ドキュメントには具体例付きで手順が示されています。それどころか、新規Firestoreデータベース作成時のデフォルトルールでさえ、それらが開放的な設定になっており、ロックダウンが必要だと警告を出しているのです」

修正自体も、実装は容易だったはずだといいます。「読み取り権限を認証済みユーザーの所属組織内に限定する、数行のセキュリティルールを追加するだけで済んだはずです」と同氏は述べています。

政府・企業の重要な会議通話が露出

会議情報を取得できたからといって、それだけで会議そのものに参加できるわけではありません。しかし検証を進める中で、BobDaHacker氏はtl;dvユーザーの会議のほとんどに、しかもほとんどの場合において侵入できる方法を見つけました。

中には、マレーシア教育省傘下の主要な管理職研修機関が主催する大規模なGoogle Meet通話のように、一般に公開された状態のものもありました。非公開の通話についても、BobDaHacker氏によれば、tl;dvのようなAIノートテイカーになりすまして参加をリクエストすれば、たいていはうまくいったといいます。同氏がDark Readingに語ったところによると、おおよそ80%の確率で会議への参加を許可されたとのことです。

実際にライブ通話へ参加していない時間帯には、BobDaHacker氏はアプリのバックエンドをさらに深く調査していました。そこで発見したのは、8万人以上のユーザーに紐づく18万件を超える完了済み通話記録です。露出していた.govドメインから判断すると、これらの記録は23か国の政府機関が主催した会議に関するものでした。さらに、HubSpotや日本最大級の不動産デベロッパーである三井不動産といった大企業が主催する会議、さらにはカリフォルニア大学バークレー校や東京大学など、国際的に名高い大学の会議も含まれていました。

一部のケースでは、会議IDからさらなるデータ漏洩につながることも判明しました。BobDaHacker氏は2万7,000件を超える会議IDのサンプルを抽出し、公開状態のデータがないか調査したところ、1,000件以上で招待者のメールアドレスと通話の文字起こし記録がインターネット上に公開されたままになっていることが分かりました。その中には、ウクライナのデジタル改革省による会議や、ブラジル・サンパウロ州政府と各種環境保護団体との間で行われた会議も含まれていました。

AIノートテイカーに潜むリスク

会議通話に参加してみたら、参加者の半分がAIノートテイカーだった、という経験はないでしょうか。通話参加者が使っているノートテイカー、参加できなかった人の代わりに入っているノートテイカー、動いていることを本人が忘れているノートテイカー――最近ではこうした場面がやたらと目につきます。

こうしたAIノートテイカーについて、あるいは他人が使っているAIノートテイカーについて、真剣に考えるユーザーはほとんどいません。しかし実際には、これらはほぼどこにでも存在しており、しばしば高いレベルの権限を持っています。多くのノートテイカーは、ユーザーが特に指定しない限り、デフォルトですべての会議に参加し記録を取ります。ビデオや音声へのアクセス権限に加え、カレンダーや連絡先といった関連アプリへのアクセス権限も通常必要とします。

BobDaHacker氏は、「この市場は急速に拡大している一方で、これらのツールが持つアクセス権限の大きさに見合うだけのセキュリティ精査はほとんど行われていません。多くの人は、インストールしたことすら忘れているブラウザ拡張機能のような感覚でこれらを扱っています。実際には、コミュニケーションの中枢に深くアクセスできる、静かな『参加者』なのです」と警鐘を鳴らしています。

AIノートテイカー運用のリスクを抑えるために、同氏は二つの重点ポイントを挙げています。まず、「そのボットも一人の参加者であると認識することです。自分が招待していないAIノートテイカーが通話に映っていたら、それは危険信号です。私が参加したマレーシア政府の会議でも、tl;dvのボットは参加者リストにしっかりと表示されていました。157人がそれを目にしていたにもかかわらず、誰一人として疑問を持たなかったのです」

そして何より重要なのは、会議のプライバシー設定を、その内容や参加者の機密性に見合った形で常に適切に設定しておくことです。「REST APIを通じて確認したおよそ7万件の会議のうち、公開共有が有効になっていたのは約1,000件だけでした。これらのユーザーは文字起こし記録と招待者のメールアドレスが露出していました。残りの6万9,000件は、プライバシー設定だけでコンテンツの露出を免れていました。デフォルトは非公開にすべきです」と同氏は述べています。

社内ゲームから従業員データが流出

tl;dvはユーザーの会議データを漏洩させていただけでなく、いささか常識外れな経路を通じて、自社従業員の氏名やメールアドレスまで流出させていました。

同社のサブドメインを調査していたBobDaHacker氏は、社内向けと思われる、しかもおそらくはバイブコーディングで作られたワールドカップの勝敗予想トーナメントゲーム「Too Long; Didn’t Score」を発見しました。TL;DSのプレイヤーデータ用APIエンドポイントには認証機能が一切なく、単純なGETリクエストを送るだけで、このゲームをプレイした42人の従業員全員の情報が取得できてしまいました。そのうち半数近くの従業員は推測しやすい業務用メールアドレスで登録していましたが、残りの従業員については、意図せず個人のメールアドレスを流出させる結果となっていました。流出したデータには他にも、「ChocoLoco」や「Super Duper CEO」といった一部凝ったユーザー名の選択内容や、このゲームの管理者――同社の社内ブロガーの身元も含まれていました。

このゲームは、ワールドカップ終了から数週間が経った現在も稼働し続けています。