AI会議録サービス「tl;dv」で18万件超の会議メタデータにアクセス可能だったと研究者が報告、会社側は「別々の2つの脆弱性」と説明

親愛なる読者の皆さまへ。ご存じの通り価格高騰などの悪影響でサーバー運営がとても苦しい状態です。回線や台数を整理し見直せる部分は全て見直しましたが、やはりまだ危険水域です。このままだと1ページを10分割ぐらいして無理矢理PVを増やさざるを得なくなってしまいます。そこで、GIGAZINEの物理的なサーバーたちを、たった1円でも良いので親愛なる読者の皆さまに支援してもらえればとっても助かります！今すぐ寄付は上のボタンから！ ・ これまでGIGAZINEを支援してくれたメンバーのリスト

AIを使ってオンライン会議の録画・文字起こし・要約を行うサービス「 tl;dv 」で、全ユーザーの会議メタデータを横断して18万1874件の会議記録を取得できる脆弱(ぜいじゃく)性が存在したと独立系セキュリティ研究者が報告しました。研究者はtl;dv運営者にこの件を報告したものの6カ月の間修正されていないと非難しましたが、tl;dv側は「修正されなかったのではなく複数の攻撃経路が存在していた」と説明しています。 tl;dv (Too Lazy; Didn't Validate): 181,874 Meetings Left Wide Open | bobdahacker https://bobdahacker.com/blog/tldv-hack darkreading.comの記事に関する当社の見解 https://tldv.io/ja/blog/our-thoughts-on-the-darkreading-com-article/ tl;dvはドイツ発のオンライン会議記録サービスで、Google MeetやZoom、Microsoft Teamsなどのオンライン会議にボットを参加させることで、会議を録画・文字起こししてAIによる要約や分析を行うことができます。ユーザー数は2026年1月時点で200万人以上で、特に投資家やセールスインフルエンサーコミュニティから支持されています。

独立系セキュリティハッカーのBobDaHacker氏によると、tl;dvには2026年1月の調査開始時点で、ユーザー認証後に発行される「 Firebase トークン」を利用することでデータベースに保存された「meetings」コレクションが検索できる脆弱性があったとのこと。tl;dvはビジネス用途で使われることが多く、営業電話や面接内容、業績評価や社内戦略会議など、あらゆる音声コンテンツが流出していたとBobDaHacker氏は指摘しています。 tl;dvに登録すると、プラットフォームは JSON Web Token(JWT) を使用して認証を行い、それをFirebaseトークンと交換します。このトークンを使用するとFirestoreデータベースにクエリを実行できます。しかしBobDaHacker氏によると、このデータベースに含まれる「meetings」コレクションにはテナント分離機能がなく、認証済みのtl;dvユーザーは、プラットフォーム上のすべてのアカウントのすべての会議を照会できる状態になっていたとのこと。各会議記録には、作成者のメールアドレス・会議ID・プロバイダー・録画ステータス・タイムスタンプが表示されます。 さらに、ステータスが「待機中」の会議の場合、リアルタイムでコレクションを監視し、会議の録画開始を確認し、IDを取得することで、招待されていない誰かの通話に参加することもできたとBobDaHacker氏は報告しています。コレクションには常に約1000件の会議が「待機中(status: recording)」の状態にあるため、公開された会議IDを持つ1000件のアクティブな通話すべてに、ボットを持つ攻撃者が同時に参加可能だとBobDaHacker氏は主張。 BobDaHacker氏は実際に、取得した会議IDを使って2件のオンライン会議に参加したと報告しています。そのうち1件はマレーシア教育省に関連するGoogle Meetで、157人以上が参加しているプレゼンテーション中の会議でした。もう1件はアメリカの主要大学の学生がスタートアップのアプリを開発している会議で、21人が参加し、画面共有を通じて開発中のプロジェクトなどが表示されていたとしています。

BobDaHacker氏がFirestoreの「meetings」コレクションを調査したところ、8万4312人のユニークユーザーに属する18万1874件の会議記録、3万5003のメールドメインが確認されたとのこと。また、ブラジル、コロンビア、ペルー、ウクライナ、エルサルバドル、フィリピン、チリ、インドネシア、メキシコ、アメリカ、カタール、マレーシア、ウズベキスタン、スリランカ、ハイチ、南アフリカ、ジャマイカ、ホンジュラス、アルゼンチン、タイ、日本、イスラエル、ベリーズの23か国の政府機関や、カリフォルニア大学バークレー校、マニラのデ・ラ・サール大学、コロンビア国立大学、東京大学の会合の会議メタデータも同じコレクションから取得可能でした。そのほか、3万5000のドメインが含まれる企業会議も保護されていないコレクションから取得可能でした。 ただし、会議そのものは基本的に非公開に設定されており、ビデオや文字起こしの内容にはアクセスできなかったとしています。一方で、2万7334件の会議IDについて公開状態を調べたところ、1000件以上が公開設定になっており、228のメールドメインにまたがる715件の招待者メールアドレスも確認されたとのことです。

BobDaHacker氏は2026年1月28日に、LinkedIn経由でtl;dvのラファエル・オールスタット氏にメッセージを送り、ユーザーデータが漏洩する重大な脆弱性を発見したことを伝えました。オールスタット氏からはすぐに「ありがとうございます！弊社の最高技術責任者(CTO)に報告していただければ、すぐに調査いたします」と返信があったため、BobDaHacker氏はメールで改めて報告した上で脆弱性を報告した報酬について尋ねたところ、オールスタット氏は「CTOから連絡があります」と回答しました。しかし、CTOから連絡が来ることはなかったそうです。 その後BobDaHacker氏は繰り返し確認しましたが、CTOからは依然として連絡はなく、オールスタット氏は「修正対応中」との回答を続けました。この状態が6か月続いたことから、BobDaHacker氏は2026年8月4日にtl;dvの脆弱性についてブログで開示しました。

しかしtl;dv側の説明では、「tl;dvがペネトレーションテストを委託している独立系業者である Abicom による定期的な評価と、ある独立系セキュリティ研究者(BobDaHacker氏)からの責任ある開示を通じて、特定の会議メタデータへのアクセスに関わる脆弱性が見つかりました。これらの報告を受けて是正措置を実施し、その後Abicom社による正式な検証で、脆弱性が完全に修正されたことが確認されています」と、BobDaHacker氏の発見した脆弱性は修正済みであるとしています。 一方で、tl;dvのシステム基盤の同じ部分に関連する、別の攻撃経路があることが新たに判明していたのこと。つまり、BobDaHacker氏は「報告した脆弱性が修正されていない」と指摘していましたが、これは「6か月間未修正のままだった」というわけではなく、2つの異なる攻撃ベクトルであったとtl;dvは説明しています。 tl;dvは新しい脆弱性について、発見から24時間以内に修正パッチを適用したと発表しています。また、2つのインシデントはいずれ