Công cụ ghi âm tl;dv làm lộ 180.000 cuộc họp ra internet

Chỉ cần một tài khoản miễn phí, ai cũng có thể vào nhảy dù các cuộc họp trực tiếp của chính phủ lẫn doanh nghiệp trên tl;dv — tất cả vì một database không hề khóa.

Chuyên gia bảo mật bobdahacker vừa phát hiện trợ lý họp tl;dv bỏ trống khâu phân quyền cơ bản trên database Firebase. Bất kỳ người dùng nào đã đăng nhập cũng có thể truy vấn 181.874 bản ghi cuộc họp thuộc 35.003 tên miền — bao gồm cả link tham gia trực tiếp của khoảng 1.000 cuộc gọi đang diễn ra. Chuyên gia này thậm chí đã thoải mái bước vào cuộc họp của Bộ Giáo dục Malaysia và một nhóm đại học ở Mỹ mà không ai hay biết. Dù đã báo lỗi cho ban lãnh đạo từ tháng 1/2026, database này vẫn nằm chơ vơ suốt sáu tháng sau đó.

Vì sao cần quan tâm: Các bot AI ghi âm cuộc họp nắm giữ rất nhiều dữ liệu nội bộ nhạy cảm, từ slide gọi vốn của doanh nghiệp cho tới các cuộc họp cấp chính phủ tại 23 quốc gia. Khi một công cụ SaaS quên kiểm soát truy cập database, một tài khoản miễn phí cũng đủ thành chiếc vé xem sạch dữ liệu của mọi người khác.

Cần biết: Nếu team bạn có dùng tl;dv, hãy mặc định là toàn bộ thông tin lưu trữ lẫn link cuộc họp trực tiếp từng công khai với bất kỳ ai có tài khoản trên nền tảng.

Lần tới nếu thấy một nhân vật lạ quắc xuất hiện trong buổi standup, chưa chắc đó đã là lỗi lịch đâu.