Il 20 ottobre 2026 Meta ha comunicato ad Ars Technica di aver sospeso la condivisione di Muse mentre esaminava il rapporto di Claroc e valutava modifiche alla rintracciabilità dei link. Claroc aveva segnalato che le pagine create per conversazioni condivise potevano essere individuate tramite DNS passivo. Le pagine riguardavano conversazioni che gli utenti avevano scelto di condividere.
Il caso si aggiunge ai temi di riservatezza legati a Muse, già affrontati da NeoTeo in un approfondimento sui profili dei contatti.
Come il DNS passivo ha reso rintracciabili i link condivisi
Claroc ha descritto nomi host che contenevano il titolo della conversazione, un ID casuale e il dominio dei contenuti cf.metaaiusercontent.com. Quando qualcuno apriva una pagina condivisa, una richiesta DNS poteva lasciare il nome host completo nei dati registrati dai servizi di DNS passivo. Questi archivi conservano i nomi osservati durante le richieste DNS e possono essere consultati in seguito.
Così il titolo e l’ID casuale finivano insieme nel nome registrato: l’ID non nascondeva il titolo quando veniva conservato l’intero nome host.
Che cosa trovò Claroc nelle pagine condivise
Claroc ha riferito di aver individuato oltre 6.800 nomi host, dopo aver filtrato il rumore prodotto dalle scansioni DNS wildcard. Il conteggio proveniva da un solo servizio commerciale di DNS passivo e da un solo schema di nomi host. I ricercatori hanno aperto alcune centinaia di pagine; una minoranza conteneva informazioni sensibili.
I controlli dei contenuti si svolsero il 7 e l’8 ottobre 2026. Tra gli esempi descritti da Claroc figuravano materiale interno aziendale e preparativi per una ricerca di dirigenti, una richiesta di prestito, un avviso di frode bancaria, dati immobiliari e un calendario delle ferie del personale. Claroc ha dichiarato di non aver trovato prove di uso improprio delle condivisioni.
Il conteggio dei nomi host non misurava il numero totale di conversazioni condivise o l’esposizione complessiva di Muse. Claroc ha inoltre precisato di non poter stabilire per quanto tempo i singoli link fossero rimasti raggiungibili.
Che cosa accadde ai 40 link ricontrollati
Il 20 ottobre Claroc ha ricontrollato 40 link che in precedenza si aprivano: nessuno si è aperto. I relativi nomi host e titoli erano ancora presenti nella cronologia del DNS passivo.
