Meta Muse: terceiros podiam achar chats sem receber o link, diz Claroc

Pesquisadores da Claroc apontam um problema no Meta Muse: terceiros conseguiam encontrar e acessar conversas compartilhadas, sem receber o endereço, mesmo quando o usuário esperava que apenas o destinatário pudesse abri-la. Segundo o Tecmundo, a descoberta levou a Meta a suspender temporariamente o compartilhamento por links.

O que aconteceu: a empresa de segurança relatou ter localizado cerca de 6.800 endereços de conversas compartilhadas, incluindo páginas com informações pessoais e empresariais.

Por que importa: um endereço difícil de adivinhar não equivale a uma autorização de acesso. Como referência técnica, a OWASP, organização dedicada à segurança de aplicações, recomenda verificar permissões a cada solicitação de acesso a recursos protegidos.

O que muda para você: se criou links com dados sensíveis, vale revisar o conteúdo compartilhado e acompanhar as orientações da Meta. O problema relatado envolve páginas de compartilhamento, não demonstra acesso a todo o histórico privado dos usuários.

Como os links do Meta Muse podiam ser encontrados

Os endereços combinavam uma descrição ou título da conversa com um identificador aleatório. A sequência podia parecer difícil de descobrir, mas parte dessas informações aparecia no nome de domínio usado pela página.

Segundo a pesquisa da Claroc, esses nomes podiam ser encontrados em registros de DNS passivo, que reúnem observações de consultas e resoluções de domínios. Assim, terceiros não precisavam adivinhar toda a sequência nem receber o link de quem criou o compartilhamento.

O DNS não armazenava o conteúdo completo das conversas. O problema descrito era que os registros ajudavam a localizar as páginas, que podiam ser abertas por quem encontrasse o endereço.

A Claroc chamou esse tipo de exposição de GhostShares, ou compartilhamentos fantasma.

Compartilhar por link é diferente de autorizar uma pessoa

Mas o que muda entre enviar um endereço e conceder acesso a alguém?

Em uma página acessível por link, conhecer o endereço pode ser suficiente para ler o conteúdo. Já um compartilhamento restrito exige que o serviço verifique se a pessoa está autorizada, por exemplo, por meio de uma conta previamente selecionada.

Essa diferença ajuda a entender o caso. O destinatário pretendido e o público que consegue abrir a página podem não ser o mesmo.

Um link longo não substitui uma verificação de permissão. Por isso, antes de compartilhar informações confidenciais em qualquer assistente de IA, é necessário conferir se o recurso restringe o acesso a pessoas específicas ou apenas cria uma página acessível pelo endereço.

Quais informações apareceram nas páginas

Entre os exemplos relatados pelos pesquisadores estavam anotações para uma reunião confidencial em um laboratório de inteligência artificial, um relatório interno ligado a um investidor e um calendário empresarial de férias com nomes de funcionários.

Também foi encontrado um alerta de fraude que continha parte de um número de conta bancária e o valor de uma transação.

São informações com diferentes graus de sensibilidade. Um calendário pode revelar nomes e períodos de ausência; anotações de reunião podem expor assuntos internos. Mas a presença de dados em uma página acessível não comprova, isoladamente, que houve fraude financeira ou uso malicioso.

O levantamento divulgado não permite afirmar que todos os links continham informações confidenciais.

O que a Meta fez após o alerta

A Claroc afirma que comunicou o problema à Meta em 8 de outubro, pelo programa de recompensa por falhas e por mensagens enviadas a funcionários no LinkedIn. Segundo os pesquisadores, essas tentativas não tiveram resposta.

O problema foi divulgado em 18 de outubro. Posteriormente, a Meta suspendeu temporariamente a função de compartilhar conversas do Muse por links enquanto avaliava mudanças na forma como os endereços poderiam ser encontrados.

A reportagem não informa um prazo para a retomada do recurso.

Também não esclarece, por si só, se todas as páginas anteriormente criadas deixaram de funcionar. Suspender a criação de compartilhamentos e revogar links antigos são medidas diferentes. A situação de um endereço já publicado precisa ser verificada nas informações disponibilizadas pela empresa.

Quadro de serviço: o que fazer se você compartilhou um chat

• Revise o conteúdo: identifique se a conversa incluía dados pessoais, documentos de trabalho, credenciais ou informações financeiras.
• Confira os controles disponíveis: procure opções para excluir ou revogar o compartilhamento. Não presuma que apagar uma conversa remove automaticamente sua página compartilhada.
• Em caso de informação profissional: avise a equipe responsável por segurança ou privacidade da organização.
• Se compartilhou uma senha ou chave de acesso: substitua a credencial no serviço correspondente e revise acessos suspeitos.
• Acompanhe a Meta: confira orientações sobre links antigos e eventual retorno da função.
• Evite ampliar a exposição: não envie a página a terceiros para demonstrar a falha nem publique capturas com informações sensíveis.

O que os 6.800 links não permitem concluir

A quantidade relatada corresponde a endereços encontrados pelos pesquisadores. Ela não equivale necessariamente a 6.800 pessoas diferentes, contas invadidas ou casos de fraude.

Também não informa quantos terceiros acessaram cada página antes da suspensão.

Para avaliar o risco de um compartilhamento seu, o conteúdo importa mais do que o tamanho desse total: uma única página com uma credencial válida exige providências diferentes de uma conversa sem dados pessoais. A pergunta prática é quais informações ficaram acessíveis e que acesso elas poderiam permitir.

Fonte: Tecmundo

Leia também: Instagram começa a liberar o Muse, assistente de IA da Meta: o que ele faz e quando chega ao seu celular.