Un anotador con IA dejó 181.874 reuniones abiertas a cualquier cuenta gratuita
Un investigador descubrió que tl;dv, un grabador de reuniones usado por más de dos millones de personas, permitía a cualquier usuario conectado listar todas las reuniones, incluidas llamadas en directo.
Un investigador llamado bobdahacker reveló un fallo en tl;dv, un grabador con IA que entra en llamadas de Google Meet, Zoom o Teams y genera transcripciones y resúmenes. La colección de reuniones en la base de datos no separaba a los clientes. Cualquier usuario conectado podía listar 181.874 registros de 84.312 usuarios y 35.003 dominios de correo.
Cada registro incluía correo del creador, identificador de conferencia, proveedor y estado de grabación. El identificador de una llamada marcada como grabándose abre una sala en directo. El investigador observó la colección, tomó uno y entró en una llamada del Ministerio de Educación de Malasia con más de 157 participantes, y después en otra donde estudiantes compartían su proyecto. Contó unas 1.000 reuniones grabándose en cualquier momento. Había dominios gubernamentales de 23 países y empresas como HubSpot y Confluent.
La cronología es incómoda. Informó el 28 de enero de 2026. El director ejecutivo respondió en minutos y lo remitió al director técnico, que nunca contestó. Los seguimientos de febrero, marzo y julio quedaron sin respuesta. Publicó el 4 de agosto con el problema aún abierto. La página de seguridad muestra insignias SOC 2, RGPD y EU AI Act y promete responder en 24 horas.
La lección va más allá de una empresa. Estos anotadores concentran riesgo: están en ventas, entrevistas, evaluaciones y estrategia, justo lo que desea un atacante, y a menudo los adopta un empleado entusiasta sin revisión de seguridad. El fallo concreto fue una regla ausente de aislamiento de inquilinos, que limita a cada usuario a sus propias filas. Las demás colecciones de tl;dv la tenían. La de reuniones no.
Qué significa esto para ti: si un bot entra en tus llamadas, pregunta quién lo opera, dónde guarda las grabaciones y quién lo revisó. Las insignias describen procesos, no el estado de una base de datos. Desactiva la grabación para salarios, salud, asuntos jurídicos o datos de clientes, borra grabaciones antiguas y comprueba si tu cuenta conserva reuniones de personas que se marcharon. No hace falta renunciar a estos servicios, sino tratarlos como a cualquier proveedor que guarda tus conversaciones más sensibles.
Fuentes
Deepseek regaló su software de agente y aumentó los precios de la API el mismo día
Deepseek Harness v0.1 está disponible bajo la licencia MIT, una alternativa abierta y gratuita a Codex y Claude Code. El mismo día, la compañía anunció fuertes aumentos en el precio de la API, y los accesos al caché se multiplicaron por seis.
