AI 기반 회의 기록 및 요약 서비스 tl;dv(투 레이지; 디든트 뷰)에서 심각한 보안 취약점이 발견되어 전 세계 수많은 사용자의 회의 정보가 무방비로 노출되는 사고가 발생했습니다. 이 취약점으로 인해 약 18만 1,874건의 회의 메타데이터와 8만 4,312명의 사용자 정보, 3만 5,003개 이메일 도메인이 유출되었으며, 여기에는 23개국 정부 기관, 유수 대학, 그리고 허브스팟(HubSpot), 컨플루언트(Confluent)와 같은 글로벌 기업의 회의까지 포함된 것으로 확인되었습니다.
이번 사고는 tl;dv의 파이어스토어(Firestore) 데이터베이스 'meetings' 컬렉션에서 테넌트 격리(tenant isolation) 기능이 제대로 작동하지 않아 발생했습니다. 즉, 로그인한 무료 계정 사용자도 다른 사용자의 회의 생성자 이메일, 구글 미트(Google Meet) 또는 팀즈(Teams) 회의 ID, 녹화 상태, 타임스탬프 등 민감한 메타데이터를 조회할 수 있었습니다. 특히, 'recording' 상태의 회의 ID를 통해 실시간으로 진행 중인 회의에 무단으로 접속할 수 있었는데, 한 시점에 약 1,000개의 진행 중인 회의에 접근이 가능했습니다. 실제로 연구자는 말레이시아 교육부의 구글 미트 회의와 미국 주요 대학 학생들의 스타트업 개발 회의에 별도 초대 없이 접속하는 데 성공했습니다. 또한, 영상 및 대화록은 기본적으로 비공개였지만, 검사된 회의 ID 중 1,000개 이상이 공개 상태로 설정되어 있어 실제 회의 내용까지 유출될 가능성도 있었습니다.
더욱 충격적인 사실은 이 취약점이 2026년 1월 28일에 처음 보고되었음에도 불구하고, tl;dv 측이 6개월이 넘도록 아무런 조치를 취하지 않았다는 점입니다. CTO는 보고에 응답하지 않았고, 취약점은 7월까지 방치되었습니다. 이는 SOC 2, GDPR 준수 등 높은 수준의 보안을 강조하며 24시간 이내 응답을 약속했던 tl;dv의 공식 보안 정책과 완전히 상반되는 행태입니다. 이번 사건은 AI 기반 서비스가 민감한 정보를 다룰 때 데이터 보안과 사용자 신뢰가 얼마나 중요한지 다시 한번 일깨워주며, 스타트업의 급격한 성장 이면에 숨겨진 보안 관리의 허점을 여실히 드러냈습니다. 특히 파이어베이스(Firebase)와 같은 클라우드 데이터베이스 사용 시 보안 규칙 설정의 중요성을 강조하는 사례로 남을 것입니다.