Lỗ hổng bảo mật nghiêm trọng: Người lạ dễ dàng đột nhập vào các cuộc họp trực tuyến

Trong quá trình kiểm tra, người phát hiện lỗi đã từng lặng lẽ tham gia vào một cuộc họp trực tuyến của Bộ Giáo dục Malaysia mà không cần lời mời.

tl;dv, ứng dụng AI chuyên ghi âm, phiên âm và tóm tắt các cuộc họp qua Google Meet, Zoom, Microsoft Teams, vừa bị phát hiện để hở một lỗ hổng khiến bất kỳ ai đã đăng nhập tài khoản, kể cả tài khoản miễn phí, cũng có thể xem được thông tin của toàn bộ 181.874 cuộc họp thuộc về người dùng khác trên nền tảng, thay vì chỉ cuộc họp của chính mình. Nghiêm trọng hơn, lỗi này tồn tại suốt 6 tháng kể từ khi được báo cáo lần đầu mà không được khắc phục.

Để dễ hình dung, tl;dv lưu dữ liệu người dùng trên một hệ thống cơ sở dữ liệu tên Firestore của Google. Với hệ thống này, nhà phát triển phải tự thiết lập "hàng rào" cho từng nhóm dữ liệu, quy định rõ ai được xem gì. tl;dv đã dựng hàng rào đúng cho hầu hết dữ liệu, nhưng lại bỏ sót đúng nhóm dữ liệu chứa thông tin các cuộc họp. Hậu quả là bất kỳ tài khoản nào cũng có thể "truy vấn" trực tiếp cơ sở dữ liệu và nhận về thông tin của người khác, thay vì chỉ dữ liệu của riêng mình.

Giao diện ứng dụng ghi âm và tóm tắt cuộc họp bằng AI.

Mỗi bản ghi bị lộ bao gồm email người tạo cuộc họp, nền tảng sử dụng, thời gian, trạng thái đang ghi âm hay không, và đặc biệt là mã phòng họp, thứ có thể dùng để trực tiếp tham gia vào chính cuộc họp đó. Nhà nghiên cứu bảo mật với biệt danh BobDaHacker cho biết tại bất kỳ thời điểm nào cũng có khoảng 1.000 cuộc họp đang ở trạng thái ghi âm trực tiếp trong hệ thống, đồng nghĩa ai cũng có thể lấy mã phòng và bước vào một cuộc họp đang diễn ra mà không cần lời mời. Chính người này từng thử nghiệm bằng cách tham gia vào một cuộc họp trực tuyến của Bộ Giáo dục Malaysia theo cách đó.

Điều khiến câu chuyện trở nên khó chấp nhận hơn nằm ở cách công ty xử lý sau khi được báo lỗi. Nhà nghiên cứu gửi báo cáo đầu tiên vào ngày 28/1/2026. CEO của tl;dv phản hồi trong vài phút, hứa sẽ chuyển cho đội kỹ thuật xem xét ngay lập tức. Nhưng suốt từ tháng 1 đến tháng 7, mỗi lần nhà nghiên cứu quay lại kiểm tra, lỗi vẫn còn nguyên, trong khi công ty chỉ liên tục trấn an kiểu "chắc chắn đội ngũ đang xem xét rất sớm". Lỗi chỉ thực sự được vá đúng vào những ngày xung quanh thời điểm nhà nghiên cứu công khai toàn bộ câu chuyện đầu tháng 8/2026, tức khoảng 6 tháng sau báo cáo đầu tiên. Trong khi đó, trang bảo mật của chính tl;dv công khai cam kết phản hồi mọi báo cáo lỗi trong vòng 24 giờ.

Trong lúc tìm hiểu sâu hơn hệ thống của tl;dv, nhà nghiên cứu còn phát hiện thêm một lỗ hổng khác chẳng liên quan gì đến sản phẩm chính: một ứng dụng nội bộ dùng để dự đoán kết quả World Cup do chính nhân viên công ty tự làm cũng để lộ dữ liệu qua một API không yêu cầu xác thực, phơi bày thông tin của hàng chục nhân viên.

Về phần mình, tl;dv có đăng phản hồi chính thức, nhưng một phần cách lý giải là chỉ ra rằng nhiều sản phẩm AI và phần mềm đám mây khác gần đây cũng từng gặp sự cố tương tự về cài đặt chia sẻ dữ liệu công khai. Cách phản hồi này bị cộng đồng lập trình viên trên các diễn đàn công nghệ chỉ trích là né tránh trách nhiệm thay vì thẳng thắn thừa nhận đây là lỗi hệ thống của chính mình.

Điều đáng suy nghĩ nhất trong câu chuyện này là sự chênh lệch giữa quy mô công ty và mức độ nhạy cảm của dữ liệu họ nắm giữ. tl;dv là một startup khá nhỏ, có trụ sở tại Đức, mới gọi vốn khoảng 4,49 triệu USD và hiện chỉ có 65 nhân sự, nhưng lại đang phục vụ hơn 2 triệu người dùng và lưu trữ những cuộc gọi thuộc loại nhạy cảm nhất trong công việc: phỏng vấn tuyển dụng, đánh giá hiệu suất nhân viên, họp chiến lược nội bộ, đàm phán kinh doanh. Đây chính là kiểu dữ liệu mà người ta thường nói đùa "cuộc họp này đang được ghi âm" rồi vẫn thoải mái chia sẻ những thông tin nhạy cảm suốt 45 phút sau đó.

Với người Việt đang dùng các công cụ ghi âm họp bằng AI tương tự cho công việc, câu chuyện này là lời nhắc rất thực tế: nên rà soát lại cài đặt chia sẻ mặc định của công cụ đang dùng, cân nhắc kỹ trước khi kết nối công cụ ghi âm AI vào những cuộc họp chứa thông tin nhạy cảm như lương thưởng hay đàm phán, và nhớ rằng một chứng chỉ tuân thủ bảo mật như SOC 2 chỉ xác nhận công ty có quy trình đúng trên giấy tờ, không đảm bảo một dòng cấu hình bị bỏ sót sẽ không xảy ra trong thực tế.