Ausgangspunkt ist laut Dark Reading eine problematische Rechtevergabe im Google-Firebase-Backend von tl;dv. Wenn sich ein Nutzer registriert oder anmeldet, erhält er in Firebase eine Sitzungs-ID. Mit dieser Kennung lasse sich die Cloud-Firestore-Datenbank der Anwendung abfragen. Zwar seien Transkripte, Aufzeichnungen und Chats anderer Konten durch eine grundlegende Mandantentrennung weitgehend geschützt. In der Sammlung „meetings“ fehle diese Trennung aber offenbar.
Dadurch könne jeder tl;dv-Nutzer alle weltweit laufenden Konferenzen abfragen, zu denen tl;dv eingeladen wurde. Sichtbar seien dabei unter anderem Zeitstempel, der Aufzeichnungsstatus und die E-Mail-Adresse des Erstellers. BobDaHacker sagte dazu gegenüber Dark Reading, die Konfiguration von Firestore-Sicherheitsregeln sei das Erste, worauf Google Entwickler hinweise. Die Behebung wäre nach ihrer Darstellung entsprechend simpel: Einige wenige Sicherheitsregeln, die Lesezugriffe auf die Organisation des angemeldeten Nutzers beschränken.
Der bloße Zugriff auf Meeting-Informationen öffnet laut Bericht noch nicht direkt die Tür zur Konferenz. In Tests gelang es BobDaHacker jedoch häufig, trotzdem in Besprechungen zu kommen. Teilweise seien Meetings öffentlich zugänglich gewesen, darunter ein großer Google-Meet-Call eines primären Management-Trainingsinstituts des malaysischen Bildungsministeriums. Bei privaten Terminen habe es meist gereicht, sich als KI-Notizassistent wie tl;dv auszugeben und den Beitritt anzufragen. Nach Angaben des Forschers wurden sie in rund 80 Prozent der Fälle zugelassen.
Bei weiteren Untersuchungen im Backend stieß BobDaHacker nach eigenen Angaben auf mehr als 180.000 abgeschlossene Anrufdatensätze von über 80.000 Nutzern. Anhand offengelegter .gov-Domains hätten sich darunter Treffen von Regierungen aus 23 Ländern identifizieren lassen. Genannt werden außerdem Meetings großer Unternehmen wie HubSpot und Mitsui Fudosan sowie renommierter Hochschulen, darunter die University of California at Berkeley und die University of Tokyo.
In einem kleineren Teil der Fälle führten Meeting-IDs laut Bericht zu weiterem Datenabfluss. BobDaHacker nahm eine Stichprobe von mehr als 27.000 Meeting-IDs, suchte nach öffentlich zugänglichen Informationen dazu und fand nach eigenen Angaben bei mehr als 1.000 Fällen E-Mail-Adressen von Eingeladenen und Gesprächstranskripte im offenen Internet. Unter den Beispielen nennt Dark Reading ein Meeting im ukrainischen Ministerium für digitale Transformation sowie eine Besprechung zwischen der Regierung des Bundesstaats São Paulo in Brasilien und mehreren Naturschutzgruppen.
Der Bericht beschreibt noch ein weiteres Problem: Bei der Erkundung von Subdomains entdeckte BobDaHacker ein internes, offenbar zur Fußball-Weltmeisterschaft genutztes Tippspiel namens „Too Long; Didn’t Score“. Dessen API-Endpunkt für Spielerdaten verlange keine Authentifizierung; eine einfache GET-Anfrage liefere die Daten aller 42 teilnehmenden Mitarbeiter. Demnach wurden neben Benutzernamen und der Identität des Spiel-Administrators auch dienstliche und persönliche E-Mail-Adressen offengelegt. Laut Dark Reading war das Spiel Wochen nach dem Ende der Weltmeisterschaft noch online.
BobDaHacker verweist gegenüber Dark Reading darauf, dass KI-Notizassistenten oft weitreichenden Zugriff auf Video, Audio sowie angebundene Anwendungen wie Kalender und Kontakte erhalten. Für Nutzer sei vor allem relevant, dass solche Bots als vollwertige Teilnehmer in Anrufen auftauchen. Zudem betont der Forscher die Bedeutung restriktiver Freigabe- und Privatsphäre-Einstellungen bei Besprechungen: Von etwa 70.000 Meetings, die sie über die REST-API geprüft hätten, seien nur rund 1.000 öffentlich freigegeben gewesen; bei diesen seien Transkripte und E-Mail-Adressen sichtbar geworden, während die übrigen durch ihre Privatsphäre-Einstellungen vor einer Offenlegung der Inhalte geschützt gewesen seien.