Meta poinformowała 20 października Ars Technica, że wstrzymała udostępnianie rozmów w Muse, analizując zgłoszenie Claroc i rozważając zmiany w sposobie odnajdywania linków. Badacze opisali, jak strony rozmów udostępnionych przez użytkowników można było wyszukać dzięki zapisom DNS.
To odrębna kwestia od wcześniejszych zastrzeżeń dotyczących prywatności Muse, związanych z profilowaniem użytkowników i ich kontaktów. NeoTeo opisało je w omówieniu profilowania w Muse.
Jak pasywny DNS ujawnił udostępnione linki
Claroc podał, że nazwa hosta strony udostępnionej rozmowy zawierała jej tytuł, losowy identyfikator i domenę cf.metaaiusercontent.com. Pasywny DNS gromadzi historię nazw hostów obserwowanych podczas zapytań DNS. Gdy ktoś otwierał stronę, pełna nazwa mogła trafić do takiego rejestru, a później dać się w nim wyszukać. Losowy identyfikator nie ukrywał więc tytułu, jeśli zapis obejmował całą nazwę hosta.
Co Claroc znalazł na udostępnionych stronach
Podczas kontroli przeprowadzonej 7 i 8 października Claroc otworzył kilkaset stron. Mniejszość zawierała wrażliwe dane, między innymi materiały dotyczące poufnej rozmowy, wewnętrzne informacje firmowe, wniosek o pożyczkę, alert o oszustwie bankowym, dane dotyczące nieruchomości oraz kalendarz urlopów pracowników. Claroc podał, że zgłosił sprawę do programu bug bounty Meta 8 października.
Ponad 6800 to liczba nazw hostów znalezionych przez Claroc, nie liczba użytkowników ani pełny bilans udostępnionych rozmów. Wynik pochodził z jednego komercyjnego zbioru pasywnego DNS i jednego wzorca nazw, po odfiltrowaniu szumu generowanego przez wildcard DNS. Claroc zaznaczył, że jego metoda nie pozwalała oszacować łącznej liczby udostępnień ani czasu dostępności poszczególnych stron. Badacze nie znaleźli dowodów na nadużycie tych stron.
Co wykazała kontrola 40 linków
20 października Claroc ponownie sprawdził 40 wcześniej dostępnych stron i podał, że żadna się nie otworzyła. Ich nazwy hostów i tytuły nadal figurowały w historii pasywnego DNS.
