Qué encontró el análisis
Una administradora de fincas pidió a una herramienta de IA una app que resumiera su correo, y la app que recibió publicó esos resúmenes, datos de inquilinos incluidos, para cualquiera que abriera la dirección correcta. Es uno de los casos que la empresa alemana de seguridad Crissy Field describió esta semana tras extraer del archivo Common Crawl 159.041 proyectos creados en Lovable, la plataforma sueca de vibe coding, y preguntar a cada base de datos qué le daría a un desconocido.
| Hallazgo | Cifra |
|---|---|
| Proyectos de Lovable analizados | 159.041 |
| De ellos, en Supabase | 34.545 |
| Devolvieron registros sin iniciar sesión | 24.664 |
| Sitios con direcciones de correo legibles | 7.403, en más de 10.500 tablas |
| Mensajes de un foro de estilo de vida | Más de 200.000, además de 80.000 perfiles |
| Registros de pasaporte de un proveedor | Más de 1.000 |
Organizadores de eventos y restaurantes dejaban a la vista pedidos y entradas con teléfonos, direcciones postales, datos de pago y códigos de entrada. Otras tablas contenían contratos, facturas, álbumes de fotos y mensajes internos de WhatsApp. Los resultados se publicaron primero en el diario económico alemán Handelsblatt.
Nadie entró a la fuerza
Nada de esto requirió un ataque, porque las apps entregaban los datos a cada visitante por diseño. Los investigadores solo usaron consultas de lectura y la misma clave pública que cada página pasa al navegador. Faltaba la Row Level Security, el ajuste de Supabase que decide qué filas puede leer un visitante. Sin ella, la clave pública abre la tabla entera.
Lovable respondió a los investigadores que se trata de un problema de configuración conocido y común a todo el sector en el uso de Supabase, y las cifras le dan la razón en esa parte. En septiembre, UpGuard analizó unos 300.000 dominios con indicios de Supabase y encontró 16.326 bases de datos con tablas legibles, más de la mitad con señales de datos personales. Según UpGuard, el denominador común era que agentes de programación con IA habían creado los sitios y sus responsables desconocían cómo estaban configurados.
Nuestra lectura es que la decisión de seguridad ha cambiado de manos. Antes la tomaba un desarrollador que fijaba las reglas de la base de datos. Ahora la toma quien escribe el prompt, y ambos proveedores dicen que la configuración es cosa del cliente. Lovable declara más de 50 millones de proyectos creados y 1,2 millones nuevos por semana. Muchísimas personas cargan, por tanto, con una decisión que no saben que tomaron.
Por qué importa con el RGPD
La empresa que publica una app decide los fines y los medios del tratamiento, lo que la convierte en responsable según el RGPD, sin importar quién escribió el código. Lovable y Supabase aportan las herramientas. Un equipo comercial que montó un formulario de contactos, o una oficina que creó una herramienta de reservas, ha puesto el nombre de la empresa sobre la base de datos que hay detrás.
Una tabla abierta de datos personales es una brecha de confidencialidad que el responsable debe evaluar. Si es probable que suponga un riesgo para las personas, el artículo 33 da 72 horas desde que se conoce para notificarla a la AEPD en España. Los investigadores solo leyeron lo que se les ofrecía. Si alguien más lo hizo es algo que solo sus propios registros pueden responder, y muchas apps hechas deprisa no guardan ninguno que merezca ese nombre.
Qué hacer esta semana
Empiece por un inventario, porque las apps más expuestas son las que el departamento de informática nunca aprobó. Pregunte a cada equipo qué herramientas ha creado con Lovable, Bolt, Replit o servicios parecidos y cuáles recogen datos de clientes o de empleados.
En cada proyecto alojado en Supabase, compruebe que la Row Level Security está activada en todas las tablas con datos personales y que una política limita cada fila a quien debe verla. El asesor de seguridad de Supabase señala las tablas que no la tienen. Ocultar la clave pública no sirve de nada, porque está pensada para ser pública. La protección tiene que venir de las políticas.
Después, convierta una revisión en condición para salir en producción de todo lo que toque datos de clientes. Crissy Field lo dice con claridad: una plataforma de desarrollo sencilla no elimina la necesidad de una revisión experta de los permisos de acceso antes de que una aplicación maneje datos confidenciales.
Leer a continuación: Un correo real de una agencia gubernamental filtró los datos de Revolut | Tu Foto de Licencia Estuvo Un Año en Su Servidor
