Dopo il caso dell’accesso non autorizzato ai messaggi su macOS, Muse, l’agente AI di Meta, finisce di nuovo al centro di una criticità legata alla privacy. “I ricercatori di Claroc hanno notato che è possibile leggere numerose informazioni personali e aziendali nelle conversazioni condivise dagli utenti”. Per accedere ai contenuti basta individuare l’URL della pagina generata dalla funzione di condivisione.
Muse, come molti servizi online, permette di condividere una conversazione tramite link: l’utente genera l’indirizzo, lo invia al destinatario e quest’ultimo può leggere la chat senza login, accedendo di fatto a una pagina web pubblica. Il dominio utilizzato in questo caso è cf.metaaiusercontent.com.
Come sono state trovate le chat
Per scovare le pagine condivise, i ricercatori di Claroc hanno impiegato un servizio DNS passivo, cioè un database che archivia la cronologia delle risoluzioni DNS, ovvero la traduzione di un nome di dominio nel corrispondente indirizzo IP. Ogni volta che un destinatario apre il link ricevuto, l’informazione DNS relativa viene registrata nel database.
Al momento della creazione del link, Meta aggiunge al dominio il titolo della conversazione, accompagnato da una sequenza casuale di lettere e numeri. Interrogando il servizio DNS passivo, i ricercatori hanno individuato oltre 6.800 conversazioni condivise dagli utenti. La maggior parte non contiene dati sensibili, ma in alcune compaiono informazioni personali e aziendali potenzialmente sfruttabili per attività illecite, tra cui truffe, impersonificazione e attacchi di ingegneria sociale.
“Claroc ha contattato Meta all’inizio di ottobre, fornendo tutti i dettagli sul problema, ma non ha mai ricevuto una risposta”. “Dopo aver letto la documentazione di Muse, i ricercatori hanno verificato che si tratta di un comportamento previsto per design”. Di conseguenza, gli utenti farebbero bene a evitare di condividere le proprie conversazioni.
