某国际投资银行每天早上都会召开视频晨会，各个业务部门的负责人通过视频会议系统汇报当天的市场情况和交易策略。晨会的内容本身就已经非常敏感，涉及到具体的交易头寸、客户委托、市场判断等等。在一次晨会结束后，大部分参会人员都陆续退出了会议，但有一位董事总经理没有点击退出会议的按钮。他在自己的电脑上和旁边的副手开始讨论当天一个较敏感的话题，内容涉及到对某位重要客户的高层管理人员的一些看法，以及银行内部对这个客户关系的处理策略。在他看来，晨会已经结束了，大家都退出了，会议室里就只有他和旁边的副手两个人，他说话的声音也没有刻意压低。但他不知道的是，视频会议系统里还有一个实习生没有退出会议。实习生当时刚入职不久，对会议系统的操作还不够熟练，晨会结束后他以为只要不关摄像头就可以了，没有意识到退出会议需要专门点击那个离开按钮。所以这位董事总经理和副手之间的所有谈话内容，一字不落地通过仍然在线的麦克风传给了实习生。实习生听到之后非常不安，不知道该不该告诉别人、也不知道该不该假装没有听到。这个事情后来还是通过内部渠道传开了，引起了该投行人力资源管理部门的介入，但董事总经理的那段话已经被听到了，信息传递出去之后就再也没有办法收回。
从技术原理来分析，这件事的核心漏洞其实就在于视频会议软件的一个普遍的用户体验问题：很多软件在会议结束后并不会主动断开所有参与者的麦克风连接。视频会议软件的运作机制是这样的，当主持人结束会议的时候，系统会强制所有参会者断开连接。但是在没有主持人结束会议的情况下，如果有一个人忘记离开会议，那么这个人实际上就还是一个有效的参会者，他的麦克风和摄像头只要没有手动关闭，就仍然处于工作状态。更加关键的是，大部分视频会议软件并不会在参会人数减少到很少的时候给出任何提示或者警告。也就是说，当一个会议从几十个人参加缩减到只剩下两三个人或者一个人的时候，软件不会有弹窗提示说现在还有人在会议中，请确认是否需要离开。这导致很多人在会议快结束的时候看到大部分头像消失了，就下意识地认为所有人都不在了，但实际上可能还有一两个没有退出的人存在。还有一个技术细节是，部分视频会议软件在参与者列表的更新上有一定的延迟，或者有些参与者虽然退出了但系统还没有刷新列表，让留在会议中的人以为别人都走了。另外，有些企业使用的视频会议系统和即时通讯工具是打通的，用户可能通过手机应用、网页端或者桌面端同时登录，而在多个设备同时登录的情况下退出设备的操作不一定同步。比如有人在手机端退出了会议，但电脑端可能还开着，声音照样通过电脑的麦克风传出去。
这个案例对于所有使用视频会议进行敏感讨论的企业和组织来说，都是一个值得反复强调的安全要点。第一，敏感话题的讨论绝不能在视频会议软件中进行。不管你以为会议室里还有谁或者还有多少人，只要开着视频会议软件，就只能讨论那些即使被录下来也没有太大关系的内容。如果需要讨论真正敏感的业务话题，应该把视频会议软件完全关闭，切换到其他更加安全的沟通方式，比如加密即时通讯应用的点对点通话或者面对面的交流。第二，企业应该在员工中推广一个习惯性的安全操作流程：每次视频会议结束之后，必须手动确认自己的麦克风和摄像头都已经关闭，并且在退出会议之前再检查一次参会者列表，确认所有无关人员都已经离开。对于管理者来说，在开始讨论任何敏感话题之前，应该口头确认会场是否只有应该在场的人。第三，视频会议平台的采购和部署也应该纳入安全成本。企业可以选择那些在会议人数降到某个阈值时会自动向参会者发送提醒的会议平台，或者配置会议记录功能确保事后可以对会议安全情况进行追溯审计。第四，视频会议的主持人应该被赋予更大的控制权限，包括在需要的时候强制关闭所有参会者的麦克风和摄像头，以及在会议结束后自动清理参会者名单的功能。对于员工来说，尤其是新入职的员工，企业应该在入职培训中就包含视频会议安全使用的内容，教会员工如何正确退出会议以及如何判断自己是否还在会议中。很多人觉得自己在视频会议这件事上已经很熟练了，但事实上那些出了事的人当时也是同样自信的。安全的关键不是熟练程度，而是在每个细节上都保持警惕的习惯。案例来自企密安官网。
