Meta dijo a Ars Technica el 20 de octubre que había pausado la función para compartir de Muse mientras revisaba el informe de Claroc. La firma de seguridad había localizado más de 6.800 hostnames, es decir, nombres de host incluidos en direcciones web, en un conjunto comercial de DNS pasivo. El recuento corresponde a hostnames, no a conversaciones sensibles confirmadas.

Qué cuenta la cifra de Claroc

Claroc encontró más de 6.800 hostnames después de filtrar el ruido generado por escaneos de DNS comodín en uno de los conjuntos comerciales de DNS pasivo que consultó. Abrió solo unos cientos de páginas: dijo que la mayoría eran corrientes y que una minoría contenía información personal o empresarial sensible.

Claroc señaló que su muestra no permitía calcular la exposición total ni cuánto tiempo había estado accesible cada enlace. Por tanto, la cifra describe nombres de host localizados en ese conjunto, no el número total de conversaciones compartidas ni de personas afectadas.

Por qué podían localizarse los enlaces

Los hostnames de los enlaces de Muse, bajo cf.metaaiusercontent.com, incluían el título de la conversación y un identificador aleatorio. El DNS pasivo conserva registros históricos de nombres de dominio observados al resolverse; así, el nombre de host podía quedar en ese historial después de que un navegador abriera el enlace.

Claroc dijo que las páginas que examinó entre el 7 y el 8 de octubre podían abrirse sin iniciar sesión. La investigación se refería a conversaciones que los usuarios habían elegido compartir, no a todas sus conversaciones privadas de Muse.

Qué información encontró Claroc

Entre los ejemplos de contenido sensible que describió Claroc había materiales de preparación para procesos de selección ejecutiva, revisiones de ingresos de empresas, solicitudes de préstamos para pequeños negocios y calendarios de vacaciones de plantilla. La firma no publicó los datos identificativos de las personas o empresas implicadas.

Qué ocurrió al revisar 40 enlaces

El 20 de octubre, Claroc volvió a comprobar 40 enlaces que antes se habían abierto. Ninguno cargó y sus hostnames devolvieron errores. Los nombres de host y los títulos de conversación seguían en el historial de DNS pasivo.