Otter.ai e le riunioni registrate a tua insaputa: un rischio sottovalutato

In ambito cybersec si parla spesso di malware, phishing e violazioni clamorose, ma ci sono rischi ben più silenziosi, legati a servizi che usiamo ogni giorno con troppa leggerezza. Uno di questi è Otter.ai, noto tool di trascrizione automatica che, se connesso al proprio account Google, può comportarsi in modo decisamente invasivo.

Molti utenti, semplicemente registrandosi con l’account Google e senza modificare le impostazioni predefinite, si ritrovano con Otter.ai che si inserisce automaticamente in tutte le riunioni con link presenti nel calendario (Google Meet, Zoom, Teams). Il software entra in silenzio, registra l’audio, trascrive e – dettaglio ancora più critico – può condividere il contenuto con tutti i partecipanti alla call.

Nessun popup, nessuna richiesta di conferma: tutto avviene in background, perché da policy Otter si considera "autorizzato" a intervenire su ogni evento del calendario una volta concessi i permessi iniziali. Il rischio? Partecipare (o peggio, far partecipare inconsapevolmente) un bot registratore a riunioni riservate, anche aziendali o legali, senza averlo mai deciso realmente.

Diversi utenti su Reddit e Hacker News hanno segnalato casi reali in cui Otter.ai ha trascritto conversazioni sensibili, a volte condividendole in automatico. Anche disattivando alcune opzioni, il comportamento non sempre si è rivelato coerente.

Ho testato personalmente il comportamento dell'applicazione: una volta autorizzata con il proprio account Google, basta aggiungere nel calendario un evento con un link a una riunione – anche su Teams – e il bot di Otter può entrare automaticamente nella call, senza essere esplicitamente invitato, e iniziare a registrare. Il tutto senza alcuna notifica o richiesta di conferma. Una dinamica che può facilmente sfuggire di mano, soprattutto in contesti dove la riservatezza è fondamentale.

Chi lavora con dati sensibili dovrebbe rivedere subito i permessi concessi. È possibile disattivare la funzione di auto-join nelle impostazioni di Otter.ai o, meglio ancora, scollegare del tutto l’integrazione col calendario Google. In alternativa, è consigliabile evitare l’uso dell’account Google per la registrazione iniziale.

Questo non è un attacco a Otter.ai, che resta uno strumento utile se ben configurato, ma un invito a riflettere su come la comodità di certe automazioni possa facilmente sfociare in perdita di controllo. La sicurezza, anche quella delle nostre riunioni, passa prima di tutto dalla consapevolezza.