Image credit: magnific
Saat Asisten AI Menjadi Mata-Mata Rapat Anda – Sebuah aplikasi pencatat rapat berbasis kecerdasan buatan (AI notetaker) populer diduga memiliki celah keamanan serius yang memungkinkan peretas mengintai panggil korporat dan panggilan konferensi para penggunanya.
Platform bernama tl;dv (Too Long; Didn’t View) ini merupakan asisten rapat otomatis yang dapat bergabung, merekam, serta merangkum panggilan video secara langsung.
Dalam situs resminya, tl;dv mengklaim telah dipercaya oleh lebih dari dua juta pengguna di seluruh dunia, termasuk perusahaan besar seperti:
- Salesforce.
- Forbes.
- Cloudflare.
Bahkan, alat ini juga aktif digunakan oleh puluhan lembaga pemerintah, universitas terkemuka, hingga organisasi besar di berbagai belakangan negara.
Fakta rentannya sistem keamanan ini terkuak setelah seorang peretas berhasil menembus lingkungan Google Firebase milik tl;dv dan memantau panggilan beberapa pelanggan aplikasi tersebut secara diam-diam.
Celah Keamanan pada Sistem Firebase tl;dv
Pada akhir Januari, seorang peneliti dan ahli keamanan aplikasi menemukan bahwa setiap pengguna tl;dv dapat mengakses lingkungan Google Firebase di back end perusahaan. Dari sana, siapa pun dapat mengakses informasi panggilan rapat milik pengguna lain.
Ketika seorang pengguna mendaftar atau masuk ke aplikasi tl;dv, sistem memberi mereka ID sesi (session ID) di back end Firebase. ID sesi ini memberikan hak akses yang luas untuk melakukan kueri (query) ke basis data Cloud Firestore milik aplikasi.
Meskipun sistem mengisolasi data transkrip, rekaman, dan obrolan antar pengguna secara individu, tl;dv memiliki kelemahan fatal pada direktori (collection) bernama “meetings”.
Akibat ketersediaan isolasi yang kurang pada direktori tersebut, setiap pengguna tl;dv dapat:
- Melihat daftar seluruh panggilan konferensi langsung (live) di seluruh dunia yang mengundang bot tl;dv.
- Mengambil data metadata ringan, seperti stempel waktu (timestamp) rapat dan status rekaman.
- Mengakses alamat email pembuat panggilan (host).
Peneliti menjelaskan bahwa saat membangun aplikasi dengan Firebase, aturan keamanan Firestore (Firestore security rules) adalah hal utama yang dianjurkan Google untuk dikonfigurasi.
Aturan standar saat membuat basis data Firestore bahkan selalu memberikan peringatan bahwa sistem masih terbuka dan perlu diperketat.
Peneliti tersebut menyebutkan bahwa perbaikan celah ini sebenarnya sangat sederhana, yaitu cukup dengan menambahkan beberapa baris aturan keamanan untuk membatasi hak akses kueri hanya kepada organisasi pengguna terotentikasi.
|
Baca juga: Spionase Siber Tiongkok Incar “Titik Buta” Jaringan Internasional |
Informasi Rapat Pemerintah dan Korporasi Bocor
Informasi rapat yang bocor memberikan celah bagi penyerang untuk menyusup ke dalam panggilan. Dalam pengujiannya, peneliti berhasil menemukan cara untuk bergabung ke sebagian besar rapat pengguna tl;dv.
- Rapat Publik: Beberapa panggilan, seperti rapat skala besar via Google Meet yang diadakan oleh lembaga pelatihan manajemen utama Kementerian Pendidikan Malaysia, dapat diakses secara terbuka tanpa pembatasan.
- Penyamaran Bot AI: Untuk panggilan privat, peneliti menyamar sebagai bot AI notetaker serupa dan mengajukan permintaan bergabung (request to join). Metode penyamaran ini berhasil meloloskan penyerang ke dalam rapat dengan tingkat keberhasilan sekitar 80%.
Selain menyusup ke panggilan langsung, peneliti menemukan lebih dari 180.000 catatan rapat selesai milik lebih dari 80.000 pengguna.
Catatan ini mendokumentasikan rapat dari domain institusi pemerintah (.gov) di 23 negara, korporasi besar seperti:
- HubSpot.
- Pengembang real estat asal Jepang Mitsui Fudosan.
- Hingga universitas ternama seperti University of California.
- Berkeley.
- University of Tokyo.
Dari sampel lebih dari 27.000 ID rapat yang diteliti, ditemukan lebih dari 1.000 ID yang memaparkan email peserta dan transkrip percakapan secara terbuka di internet.
Di antaranya mencakup rapat di Kementerian Transformasi Digital Ukraina, serta rapat antara pemerintah negara bagian São Paulo di Brasil dengan berbagai kelompok konservasi.
Risiko Tersembunyi di Balik AI Notetaker
Penggunaan bot AI notetaker yang kian marak sering kali tidak diimbangi dengan pengawasan keamanan yang memadai.
Sebagian besar bot bergabung dan mencatat seluruh rapat secara default, serta membutuhkan izin akses tingkat tinggi seperti:
- Mikrofon.
- Kamera.
- Kalender.
- Daftar kontak.
Peneliti menggarisbawahi bahwa pasar AI notetaker berkembang sangat pesat dengan pengawasan keamanan yang minim.
Sebagian besar pengguna memperlakukan bot AI ini seperti ekstensi peramban biasa yang lupa dimatikan, padahal alat tersebut beroperasi sebagai peserta pasif yang memiliki akses mendalam terhadap saluran komunikasi sensitif.
|
Baca juga: Kenali Tanda-Tanda Router Wi-Fi Anda Disusupi Hacker |
Panduan Mitigasi Risiko
- Waspadai Peserta AI dalam Panggilan: Selalu periksa daftar peserta rapat. Jika melihat bot AI yang tidak Anda undang, periksa kembali kehadirannya. Pada kasus rapat pemerintah Malaysia yang disusupi, bot tl;dv tertera di daftar peserta bersama 157 orang lainnya tanpa ada yang mempertanyakannya.
- Atur Privasi ke Mode Privat secara Default: Konfigurasikan pengaturan privasi rapat sesuai dengan tingkat sensitivitas konten. Dari sekitar 70.000 rapat yang diperiksa melalui REST API, hanya sekitar 1.000 rapat yang mengaktifkan opsi berbagi publik—yang menyebabkan transkrip dan email peserta terekspos. Sementara 69.000 rapat lainnya tetap aman karena pengaturan privasinya diatur ke mode privat.
Kebocoran Data Internal Karyawan tl;dv
Selain memaparkan data pengguna, tl;dv secara tidak sengaja juga membocorkan data internal karyawannya melalui fitur permainan internal bernama “Too Long; Didn’t Score”—sebuah gim tebak skor Piala Dunia.
Titik akhir (endpoint) API untuk data pemain dalam gim tersebut tidak menggunakan sistem otentikasi. Permintaan kueri sederhana (GET request) dapat menampilkan data 42 karyawan yang berpartisipasi, termasuk nama pengguna, identitas admin gim, serta alamat email pekerjaan dan alamat email pribadi milik karyawan yang terekspos secara terbuka.
Hingga laporan ini dipublikasikan, pihak tl;dv belum memberikan respons atas temuan celah keamanan tersebut dan masalah pada sistem masih dalam kondisi aktif.
Sumber berita:
