Meta остановила функцию, которая превращала беседу с Muse в ссылку для отправки другому человеку. Причина неловкая: эти страницы оказалось можно находить не только у адресата, но и через публичную историю DNS-запросов.
Claroc нашла больше 6 800 адресов. Среди открывавшихся страниц были заявка на кредит, внутренний разбор выручки, рабочий календарь и заметки к конфиденциальному разговору. Взламывать Muse для этого не требовалось: чат публиковался как страница для любого, у кого есть ссылка.
Подвох сидел в самом адресе. Muse собирала его из названия беседы и случайного идентификатора. Но когда кто-то открывал ссылку, браузер запрашивал DNS-имя — и оно попадало в сервисы пассивного DNS. Там уже лежали и тема разговора, и случайный хвост, который должен был делать ссылку непредсказуемой. Секретный ключ, который сам вывесили на доске объявлений. Удобно вышло.
Важно не раздувать масштаб: найденные адреса — это не все опубликованные чаты Muse и не доказательство, что их кто-то массово читал. Claroc искала в одном наборе пассивных DNS-данных и просмотрела лишь часть результатов. Подтверждений злоупотребления этими страницами тоже нет.
Но вывод для работы и личных дел простой. Ссылка «скину коллеге» — не то же самое, что доступ по приглашению. Пока Meta пересматривает механику, не стоит выносить в такой чат кредитные бумаги, календари команды и прочие вещи, которым не место в чужом поиске.