인공지능(AI) 기반 회의록 서비스 'tl;dv(투 롱; 디든트 뷰)'에서 심각한 보안 취약점이 발견되어 18만 개 이상의 회의 정보가 노출되는 사고가 발생했습니다. 이 취약점은 tl;dv의 파이어스토어(Firestore) 데이터베이스 설정 오류로 인해 발생했으며, 인증된 tl;dv 사용자라면 누구나 다른 계정의 회의 메타데이터에 접근할 수 있었던 것으로 밝혀졌습니다. 이로 인해 수많은 라이브 회의의 회의 ID가 노출되어 외부인이 무단으로 회의에 참여할 수 있는 위험에 처했습니다.
보안 연구원은 지난 1월 28일 이 취약점을 발견하고 tl;dv 측에 알렸으나, 6개월이 지난 7월까지도 데이터베이스가 여전히 열려있었다고 폭로했습니다. tl;dv는 구글 미트(Google Meet), 줌(Zoom), 팀즈(Teams) 등 화상 회의에 봇을 참여시켜 회의를 녹화하고, 이를 텍스트로 변환하며 AI로 요약해주는 인기 서비스로, 200만 명 이상의 사용자를 보유하고 있습니다. 취약점은 사용자 인증 후 발급되는 파이어베이스(Firebase) 토큰을 통해 파이어스토어 데이터베이스에 접근할 때, 회의 컬렉션에 '테넌트 격리(tenant isolation)'가 제대로 적용되지 않아 발생했습니다. 이는 모든 계정의 회의 기록을 누구나 조회할 수 있게 만들었으며, 실시간으로 진행 중인 회의의 회의 ID를 파악하여 무단으로 참여하는 것이 가능했습니다. 실제로 연구원은 말레이시아 교육부와 미국 대학생들의 스타트업 회의에 무단으로 참여하는 데 성공했습니다.
이번 유출로 인해 23개국 정부 기관, 유수 대학, 그리고 3만 5천 개 이상의 기업 도메인에 걸쳐 총 181,874건의 회의 기록이 노출되었습니다. 여기에는 브라질, 우크라이나 등 여러 국가의 정부 회의, 버클리 대학과 도쿄 대학의 회의, 그리고 허브스팟(HubSpot)과 같은 주요 기업들의 회의 메타데이터가 포함됩니다. 특히, 기본적으로 비공개 설정된 회의 중에서도 1,000개 이상이 공개 상태로 노출되어 실제 영상 및 스크립트까지 접근 가능했던 것으로 확인되었습니다. 이는 기업의 영업 비밀, 민감한 내부 전략, 개인 정보 등 중요한 기밀이 광범위하게 유출될 수 있었음을 의미하며, AI 회의록 서비스의 편리함 뒤에 숨겨진 심각한 보안 위험을 다시 한번 일깨워주는 사례입니다. 또한, tl;dv의 내부 직원용 앱에서도 직원들의 개인 정보가 유출되는 등 전반적인 보안 관리 부실이 드러났습니다.