tl;dv의 Firestore 설정 오류로 회의 기록 18만 건 노출

181,874건의 회의 기록이 인증된 사용자 누구에게나 노출되는 보안 사고가 발생했다. AI 회의 기록 플랫폼 tl;dv(티엘디브이)가 구글의 NoSQL 데이터베이스인 Firestore(파이어스토어)의 meetings 컬렉션에서 테넌트 격리(tenant isolation) 설정을 누락한 결과다. 테넌트 격리는 개별 고객의 데이터 영역을 분리해 타인의 접근을 막는 보안 체계다. 이 설정이 없어서 인증을 마친 사용자라면 플랫폼 내 모든 계정의 회의 정보를 제한 없이 쿼리할 수 있었다.

노출된 데이터에는 회의 생성자의 이메일 주소와 컨퍼런스 ID가 포함됐다. 컨퍼런스 ID는 구글 미트(Google Meet)나 마이크로소프트 팀즈(Microsoft Teams) 회의실로 즉시 접속 가능한 식별자다. 여기에 서비스 제공자 정보, 기록 상태, 생성 시점의 타임스탬프가 함께 유출됐다.

35,003개의 이메일 도메인에 걸쳐 84,312명의 고유 사용자가 생성한 기록이 확인됐으며, 2025년 7월 한 달에만 43,209건의 회의가 기록되며 유출 규모가 정점에 달했다.

내부 API 취약점과 정부 기관 데이터 유출 확인

데이터베이스 외에 내부 유틸리티 앱에서도 개인정보가 유출됐다. 직원용 예측 게임 앱인 World Cup Pick'em(월드컵 픽엠)의 Player 엔티티 API(`GET /api/entities/Player`)에서 세션 쿠키 없이도 모든 플레이어 기록이 반환되는 취약점이 발견됐다. 이를 통해 @tldv.io 도메인을 사용하는 직원 19명의 이름과 기업 이메일을 포함해 총 43명의 플레이어 데이터가 추출됐다.

또한 27,334개의 회의 ID를 전수 조사한 결과, 1,000개가 넘는 회의가 공개 설정으로 확인되어 실제 회의 영상과 트랜스크립트에 접근할 수 있었다. 브라질 정부의 환경 보존 회의인 PACTO Mata Atlântica(팍토 마타 아틀란티카) 기록이 대표적이며, 여기에는 WWF, The Nature Conservancy, Conservation International, WRI, 상파울루 주 정부 관계자가 참여했다. 우크라이나 Ministry of Digital Transformation(디지털 전환부)의 회의 내용 역시 노출됐다.

컨퍼런스 ID 유출로 실시간 회의 무단 접속 위험 발생

저장된 기록뿐 아니라 실시간 회의 역시 위험에 노출됐다. 회의 상태가 'recording'일 때 컨퍼런스 ID가 실시간으로 드러나는데, 외부인이 이 ID를 이용해 초대 없이 라이브 콜에 즉시 입장할 수 있기 때문이다. 실제로 말레이시아 교육부(Malaysian Ministry of Education) 회의와 미국 주요 대학 학생들의 스타트업 회의에 무단 접속한 사례가 발견됐다.

유출된 메타데이터에는 23개국 정부 기관과 글로벌 기업이 포함됐다. 미국, 일본, 우크라이나, 말레이시아, 브라질, 콜롬비아, 페루, 엘살바도르, 필리핀 등 .gov 도메인 기관과 버클리(Berkeley), 도쿄 대학, 데 라 살(De La Salle), 콜롬비아 국립대학교 등 .edu 도메인 교육 기관이 대상이다. 기업으로는 허브스팟(HubSpot), 컨플루언트(Confluent), 미쓰이 창고(Mitsui-Soko), 미쓰이 부동산(Mitsui Fudosan) 등의 정보가 드러났다.

SOC2(서비스 조직 통제 기준) 같은 보안 인증이 실제 데이터베이스 보안 규칙 구현을 보장하지 않는다. 공급망 보안 체크리스트에 '데이터 격리 검증' 항목을 추가해야 한다.