Un fallo de diseño en los enlaces para compartir deja al descubierto las conversaciones personales de los usuarios con Muse, de Meta

In­ves­ti­ga­do­res des­cu­brie­ron que los en­la­ces para com­par­tir con­ver­sa­cio­nes en la nueva he­rra­mien­ta de in­te­li­gen­cia ar­ti­fi­cial de Meta, Muse, pre­sen­tan un fallo de di­se­ño que puede ex­po­ner in­for­ma­ción con­fi­den­cial de los usua­rios. Aun­que la pla­ta­for­ma ge­ne­ra en­la­ces úni­cos con se­cuen­cias lar­gas para evi­tar ac­ce­sos no de­sea­dos, una de­ci­sión clave en la es­truc­tu­ra de las URL fa­ci­li­tó su des­cu­bri­mien­to por parte de es­pe­cia­lis­tas en se­gu­ri­dad.

El pro­ble­ma ra­di­ca en que los tí­tu­los de las con­ver­sa­cio­nes se co­lo­can en el sub­do­mi­nio del en­la­ce y uti­li­zan un do­mi­nio es­pe­cí­fi­co, lo que per­mi­te que los re­gis­tros de DNS pa­si­vos ar­chi­ven esta in­for­ma­ción y sea ac­ce­si­ble me­dian­te bús­que­das pú­bli­cas. Los in­ves­ti­ga­do­res lo­gra­ron re­co­pi­lar miles de en­la­ces crea­dos por usua­rios que con­te­nían datos pri­va­dos, tales como notas de pre­pa­ra­ción para lla­ma­das eje­cu­ti­vas, re­vi­sio­nes de in­gre­sos in­ter­nos, so­li­ci­tu­des de prés­ta­mos, aler­tas de frau­de ban­ca­rio, in­for­mes de ren­di­mien­to in­mo­bi­lia­rio y ca­len­da­rios va­ca­cio­na­les de per­so­nal.

Ante estos ha­llaz­gos re­por­ta­dos a tra­vés del pro­gra­ma de re­com­pen­sas por erro­res, Meta co­mu­ni­có que de­ci­dió sus­pen­der tem­po­ral­men­te la fun­ción de com­par­tir mien­tras re­vi­sa el in­for­me y eva­lúa po­si­bles mo­di­fi­ca­cio­nes. Adi­cio­nal­men­te, el ar­tícu­lo se­ña­la an­te­ce­den­tes re­cien­tes de vul­ne­ra­bi­li­da­des en la apli­ca­ción y el nivel de ac­ce­so que re­quie­re para fun­cio­nar.