“Descubrí que podía acceder a más de 181.000 grabaciones de reuniones privadas simplemente cambiando un número en la URL.”

Esto no es una brecha sofisticada. No es un zero-day en alguna capa de cifrado compleja. Es un caso de manual de una vulnerabilidad de Referencia Directa de Objetos Insegura (IDOR), el tipo de error que normalmente te hace salir escupido de un laboratorio de primer año de informática. El hecho de que esto haya ocurrido a escala en una herramienta diseñada para grabar las partes más sensibles de la comunicación corporativa es un fallo de una clase especial.

La mecánica aquí es vergonzosamente simple. Como detalla la publicación de bobdahacker, la aplicación falló al verificar si el usuario que solicitaba una grabación realmente tenía permiso para verla. Si tenías la URL de una reunión, solo tenías que incrementar el ID en la solicitud y avanzar linealmente por la base de datos. Es esencialmente como encontrar un hotel donde las llaves de las habitaciones son trozos de cartón con números escritos, y el personal nunca pide tu identificación en la recepción.

(Sospecho que esto ocurrió mientras el equipo perseguía un hito de VC). Cuando estás corriendo para lanzar funciones y mantener el ritmo del ciclo de hype de la IA, lo “aburrido” —como el middleware de autorización— suele ser lo primero que se recorta. No ves esto en software empresarial legacy porque ese software fue construido por personas aterrorizadas a ser despedidas por una filtración de datos. La cultura moderna de “muevete rápido y rompe cosas” simplemente ha extendido “romper cosas” para incluir “romper la privacidad de 181.000 clientes.”

Hablamos de grabaciones de reuniones. En un contexto corporativo, no son solo charlas sobre dónde ir a almorzar. Son sesiones de estrategia, negociaciones salariales, hojas de ruta de productos y desahogos internos sobre el CEO. El mero volumen de datos —casi 200.000 grabaciones— significa que para una parte significativa de su base de usuarios, la naturaleza “privada” de sus reuniones fue una total ficción.

¿Quién audita realmente esto antes de que salga a producción? La vulnerabilidad era tan evidente que no requería un kit de herramientas especializado para encontrarla, solo una mente curiosa y un navegador. Esto es un fallo completo de la ingeniería básica.

Hay un patrón recurrente aquí. La mayoría de estos tomadores de notas con IA son efectivamente wrappers alrededor de un par de APIs centrales. El “valor añadido” es la interfaz de usuario y la ingeniería de prompts, pero la infraestructura a menudo está ensamblada con cinta adhesiva y esperanza. Están tratando la seguridad como una función que se añadirá en la v2.0 en lugar de un prerrequisito para la v1.0. Es la misma energía que un restaurante que abre antes de instalar un fregadero funcional en la cocina.

Este no es un problema de IA; es un problema de CRUD. La parte de “IA” es solo el objeto brillante que distrae a los desarrolladores (y a los inversores) del hecho de que la API subyacente es un colador. Hemos visto esta película antes en cada fiebre del oro en tecnología: las herramientas que prometen más “productividad” suelen tener más agujeros en su casco.

Definitivamente no. Hasta que no demuestren que tienen una postura de seguridad que va más allá de “esperamos que nadie note los parámetros de la URL”. Si eres un desarrollador o un gerente que conecta estos bots a tus llamadas de Zoom, estás invitando efectivamente a un extraño a tu sala de juntas y esperando que no decida empezar a grabar todo para el público.

La industria ha cambiado seguridad por time-to-market, y el costo ahora se paga en texto plano. Sospecho que veremos al menos tres filtraciones de IDOR de alto perfil más de herramientas de “productividad con IA” antes de que termine el Q4. Hasta que estas empresas se alejen de la mentalidad de “envía primero, parchea después”, son pasivos, no activos.

El riesgo es simplemente demasiado alto para la recompensa de un resumen de reunión ligeramente mejor.