180 000 réunions. En comptant en moyenne cinq personnes par visioconférence, cela représente les échanges de 900 000 individus : négociations commerciales, entretiens d’embauche, évaluations professionnelles, réunions stratégiques d’entreprises et sessions de travail d’organismes gouvernementaux. Toutes ces données étaient stockées par un assistant de réunion basé sur l’IA dans une base de données cloud dont la porte n’était pas verrouillée. N’importe qui créant un compte gratuit pouvait parcourir l’ensemble des 180 000 comptes rendus, et même obtenir les liens d’accès en direct aux réunions en cours pour s’y inviter à l’improviste. Le chercheur en sécurité Bob Diachenko l’a expérimenté lui-même : il a rejoint une réunion en ligne du ministère de l’Éducation de Malaisie regroupant 157 personnes. Personne ne l’avait invité, et la visioconférence était en cours d’enregistrement.
Une entreprise dont le métier est de garder les secrets des autres
L’entreprise s’appelle tl;dv (acronyme de « Too Long; Didn’t View », signifiant « Trop long, pas regardé »). Il s’agit d’un outil de prise de notes IA pour réunions : un bot rejoint vos appels Zoom, Google Meet ou Teams, enregistre l’intégralité des échanges, génère une transcription, puis synthétise les points clés grâce à l’IA. Revendiquant plus de 2 millions d’utilisateurs, soutenue par des fonds d’investissement et largement recommandée dans le secteur commercial sur LinkedIn, l’application bénéficiait d’une solide réputation.
Appels de vente, entretiens de recrutement, évaluations de performance, comités stratégiques internes : les utilisateurs y stockaient absolument tout. C’est exactement le genre de contenu partagé une fois que le signal « Cette réunion est enregistrée » retentit, que chacun échange un sourire gêné, puis aborde pendant 45 minutes des secrets d’affaires confidentiels.
Origine de la faille : pas de piratage sophistiqué, juste une porte grande ouverte
Précisons d’emblée : il ne s’agissait pas d’une cyberattaque sophistiquée. Aucun mot de passe n’a été cassé, aucune faille zéro-day complexe n’a été exploitée ; l’attaquant n’a même pas eu besoin de la moindre étape de piratage.
Le problème résidait dans le contrôle d’accès de la base de données. Les bases de données cloud comme Firestore de Google appliquent une règle fondamentale : chaque utilisateur ne doit accéder qu’à ses propres données (principe appelé cloisonnement des locataires ou tenant isolation dans le jargon technique). Or, la base de données de tl;dv était totalement dépourvue de cette couche de séparation. Imaginons un immeuble résidentiel où chaque appartement devrait posséder sa propre serrure, mais où il n’existerait qu’un hall central contenant un registre général : numéros de porte, adresses e-mail des occupants et indication des appartements où une réunion est en cours. Tout résident ayant créé un compte gratuit pouvait compulser ce registre et frapper à la porte de son choix.
Figure : Liste des enregistrements de réunions consultée par le chercheur. Tout utilisateur connecté pouvait interroger la totalité des données. Source : bobdahacker.com
Les chercheurs ont fait le décompte : 181 874 comptes rendus de réunions appartenant à 84 312 utilisateurs répartis sur 35 003 domaines d’entreprises. La fuite englobait des réunions de ministères de 23 pays, d’universités renommées comme UC Berkeley et l’Université de Tokyo, ainsi que de grands groupes comme Mitsui ou HubSpot. Le pic mensuel le plus élevé est survenu en juillet dernier, avec 43 209 nouvelles réunions enregistrées en un seul mois.
Plus alarmant encore était l’aspect en temps réel : à tout moment, environ 1 000 réunions étaient en cours d’enregistrement, avec leurs liens d’accès exposés dans la base de données, permettant à des scripts automatisés de rejoindre les visioconférences en masse. Le chercheur en a fait la démonstration en direct : lorsqu’il a pénétré dans la réunion de 157 personnes du ministère de l’Éducation de Malaisie, une présentation était en cours et le propre bot de tl;dv figurait dans la liste des participants.
Figure : Une réunion en ligne de 157 personnes rejointe sans invitation par le chercheur, alors que l’enregistrement était en cours. Source : bobdahacker.com
Pour un attaquant potentiel, la valeur de cette base dépasse largement les résumés textuels : elle réside dans l’audio lui-même. Des experts en prévention du vishing (fraude vocale) ont souligné dans les commentaires : avec des échantillons de la voix réelle d’un employé, des modèles d’IA peuvent cloner sa voix à la perfection pour appeler le service financier et ordonner des virements. Cette fuite a équivalu à distribuer les empreintes vocales de dizaines de milliers de personnes à l’échelle mondiale.
Ce que révélaient ces comptes rendus de réunions
Que contient une réunion ? Des négociations salariales, des planifications de licenciements, des projets de fusion-acquisition, des litiges juridiques et des prix planchers accordés aux clients. Les réunions gouvernementales peuvent toucher à la sécurité nationale : des transcriptions du ministère de la Transformation numérique d’Ukraine figuraient dans les données exposées, amenant des observateurs à se demander si l’Ukraine réalisait que la Russie pouvait être aux écoutes. Dans une autre visioconférence rejointe à l’improviste, une équipe d’étudiants entrepreneurs d’une université américaine partageait son écran pour présenter des prototypes ; lorsqu’ils ont abordé la validation par e-mail, le chercheur s’est dit intérieurement : « De grâce, configurez aussi correctement les permissions de votre base de données. »
Figure : Une autre visioconférence rejointe à l’improviste, où une équipe étudiante partageait son écran pour présenter un prototype. Source : bobdahacker.com
En outre, plus de 1 000 réunions avaient été définies comme « publiques » par les utilisateurs, rendant leurs enregistrements et transcriptions accessibles en lecture directe. Par exemple, une réunion de concertation sur la protection de l’environnement du gouvernement brésilien (avec la présence du WWF et de The Nature Conservancy) et un appel commercial de HubSpot. Par ailleurs, 715 adresses e-mail de participants disséminées sur 228 domaines étaient visibles, constituant une liste d’hameçonnage toute prête.
La réaction de l’entreprise : six mois de silence avant l’argument des données publiques
Ce qui a le plus indigné la communauté tech réside dans la gestion de la faille après sa découverte. Le chercheur a contacté tl;dv le 28 janvier via LinkedIn. En quelques minutes, l’entreprise a répondu : « Merci ! Veuillez transmettre cela à notre CTO. » Par la suite, le CTO n’a plus jamais donné de nouvelles. Malgré plusieurs relances du chercheur en février, mars et juillet, la base de données est restée béante. Ce n’est qu’au début du mois d’août, une fois le rapport d’enquête publié et les premiers articles de presse parus, que l’entreprise a corrigé le problème en quelques jours et publié une réponse officielle.
Le passage le plus contesté de leur communiqué affirmait que les données exposées étaient « strictement limitées à des métadonnées » et que les enregistrements et transcriptions « n’avaient jamais fui », soutenant que les réunions consultables étaient uniquement celles que « les utilisateurs avaient délibérément choisi de rendre publiques », les qualifiant de « données publiques ». La réaction des observateurs a été vive : le chercheur avait en réalité obtenu le contenu intégral de plus de 1 000 réunions publiques, et les utilisateurs cochant la case de partage ne réalisaient aucunement qu’ils rendaient leurs visioconférences indexables par le monde entier. Comble de l’ironie, le PDG de l’entreprise avait affirmé dans une interview accordée quelques mois plus tôt que les sociétés européennes « accordent plus d’importance aux données, à la sécurité et à la vie privée » et « intègrent la conformité au produit dès le premier jour » — une citation désormais reprise mot pour mot dans les fils de discussion.
Que contrôlent réellement les certifications de sécurité du marché ?
Cela nous ramène à la question centrale : les certifications. La page sécurité du site web de l’entreprise arborait un alignement de badges : certification SOC 2, conformité RGPD, chiffrement AES-256… telle une vitrine de trophées. Après l’incident, le constat dominant dans les forums de développeurs était sans appel : ces certifications ne garantissent rien sur le plan pratique.
Que vérifie réellement un audit de sécurité ? En termes simples : si vous avez rédigé des politiques de sécurité et si vous pouvez prouver que vous appliquez les procédures que vous avez écrites. Ce qu’il ne contrôle pas : si la politique elle-même est judicieuse, si la base de données est fermée à clé ou si le logiciel est effectivement sécurisé. Pour faire une analogie : c’est comme un examen qui contrôlerait uniquement si vous avez répondu en suivant vos propres règles écrites, sans vérifier si la réponse est exacte — si vous écrivez que « 1+1=3 » et prouvez que vous calculez toujours ainsi, vous obtenez l’examen. Ou comme un inspecteur sanitaire qui vérifierait l’affichage et l’application d’un « Manuel d’hygiène », sans juger si ce manuel stipule « nettoyer la cuisine tous les jours » ou « nettoyer une fois avant l’ouverture », et sans inspecter la propreté réelle du plan de travail.
Un professionnel du secteur a partagé une anecdote éclairante : pour passer un audit de conformité, son entreprise l’a obligé à installer un « logiciel de surveillance de conformité » sur son ordinateur portable. Il s’est exécuté, a posé l’appareil dans un coin et a continué à travailler sur son ordinateur personnel — « la certification a été obtenue sans l’ombre d’un problème ». Un autre utilisateur a rapporté avoir utilisé un outil également certifié dont les historiques de chat étaient transférés d’office sur les serveurs de l’éditeur et pouvaient être rendus publics en un clic. Les certifications prouvent qu’une entreprise « fait ce qu’elle dit », mais le problème fondamental a toujours été : ce qu’elle a dit a-t-il une quelconque valeur ?
Réflexions sur la confiance et l’audit de sécurité
Dans cette affaire, les aspects techniques ne sont pas complexes ; c’est l’effondrement de la confiance qui l’est. Les utilisateurs ont confié leurs échanges professionnels les plus confidentiels à un outil, et cet outil les a déposés dans un meuble non verrouillé. Les utilisateurs ont pris les badges de certification pour une promesse de sécurité, alors que les audits ne garantissaient que l’existence de procédures. On peut colmater une brèche dans une base de données et réécrire des règles Firebase, mais la dévalorisation du mot « certifié » dans l’esprit du public sera bien plus difficile à réparer.
Cet article ne prétend pas trancher catégoriquement entre les parties : l’entreprise affirme qu’il existait « deux vulnérabilités distinctes et que la première était corrigée depuis longtemps », tandis que le chercheur atteste « six mois d’absence de réponse avec une base de données constamment ouverte ». Il appartient à chacun de comparer les sources et de se forger un avis. Cependant, une pensée mérite d’être gardée en tête : la prochaine fois qu’un hôte annoncera en visioconférence « Cette réunion va être enregistrée », il sera peut-être opportun de se demander si l’outil qui l’enregistre est vraiment digne de votre voix.
Liens de référence :
- Bob Diachenko : Rapport d’enquête sur la fuite Tl;dv
- Fil de discussion Hacker News (HN)
- Réponse officielle de tl;dv : « Our thoughts on the darkreading.com article »
- Article de Dark Reading : « AI Notetaker Exposes Government, Corporate Video Calls »
- Analyse de SourceFeed : « One Missing Firestore Rule Exposed 181,874 Meetings »
