Ce que l'analyse a trouvé
Une société de gestion immobilière a demandé à un outil d'IA une app qui résume sa boîte mail, et l'app obtenue a publié ces résumés, données des locataires comprises, pour quiconque ouvrait la bonne adresse. C'est l'un des cas décrits cette semaine par la société allemande de sécurité Crissy Field, qui a extrait de l'archive Common Crawl 159 041 projets créés sur Lovable, la plateforme suédoise de vibe coding, et demandé à chaque base de données ce qu'elle donnerait à un inconnu.
| Constat | Chiffre |
|---|---|
| Projets Lovable analysés | 159 041 |
| Dont hébergés sur Supabase | 34 545 |
| Ont renvoyé des données sans connexion | 24 664 |
| Sites avec des adresses e-mail lisibles | 7 403, sur plus de 10 500 tables |
| Messages d'un forum lifestyle | Plus de 200 000, plus 80 000 profils |
| Données de passeport d'un prestataire | Plus de 1 000 |
Des organisateurs d'événements et des restaurants exposaient commandes et billets avec numéros de téléphone, adresses postales, données de paiement et codes de billet. D'autres tables contenaient des contrats, des factures, des albums photo et des messages WhatsApp internes. Les résultats ont d'abord paru dans le quotidien économique allemand Handelsblatt.
Personne n'est entré par effraction
Rien de tout cela n'a exigé d'attaque, car les apps remettaient les données à chaque visiteur par construction. Les chercheurs n'ont utilisé que des requêtes en lecture et la même clé publique que chaque page transmet au navigateur. Il manquait la Row Level Security, le réglage de Supabase qui décide quelles lignes un visiteur peut lire. Sans elle, la clé publique ouvre toute la table.
Lovable a répondu aux chercheurs qu'il s'agit d'un problème de configuration connu, propre à tout le secteur, dans l'usage de Supabase, et les chiffres lui donnent raison sur ce point. En septembre, UpGuard a testé environ 300 000 domaines présentant des signes de Supabase et trouvé 16 326 bases avec des tables lisibles, dont plus de la moitié contenant des indices de données personnelles. Selon UpGuard, le point commun était que ces sites avaient été créés par des agents de codage IA et que leurs exploitants ignoraient leur configuration.
Notre lecture est que la décision de sécurité a changé de mains. Elle revenait autrefois à un développeur qui fixait les règles de la base. Elle revient désormais à celui qui tape le prompt, et les deux fournisseurs disent que la configuration est l'affaire du client. Lovable revendique plus de 50 millions de projets et 1,2 million de nouveaux par semaine. Beaucoup de gens portent donc une décision qu'ils ne savent pas avoir prise.
Pourquoi c'est important avec le RGPD
L'entreprise qui publie une app décide des finalités et des moyens du traitement, ce qui fait d'elle le responsable de traitement au sens du RGPD, quel que soit l'auteur du code. Lovable et Supabase fournissent les outils. Une équipe commerciale qui a créé un formulaire de prospects, ou un office manager qui a monté un outil de réservation, a mis le nom de l'entreprise sur la base de données derrière.
Une table ouverte de données personnelles est une atteinte à la confidentialité que le responsable doit évaluer. Si elle présente un risque probable pour les personnes, l'article 33 laisse 72 heures après en avoir pris connaissance pour la notifier à la CNIL en France. Les chercheurs n'ont lu que ce qui leur était offert. Savoir si quelqu'un d'autre l'a fait est une question à laquelle seuls vos propres journaux peuvent répondre, et beaucoup d'apps montées à la hâte n'en tiennent aucun digne de ce nom.
Ce qu'il faut faire cette semaine
Commencez par un inventaire, car les apps les plus exposées sont celles que l'informatique n'a jamais validées. Demandez à chaque équipe quels outils elle a créés avec Lovable, Bolt, Replit ou des services similaires, et lesquels collectent des données de clients ou de salariés.
Pour chaque projet sur Supabase, vérifiez que la Row Level Security est activée sur chaque table contenant des données personnelles et qu'une règle limite chaque ligne aux personnes autorisées. Le conseiller de sécurité de Supabase signale les tables qui en sont dépourvues. Cacher la clé publique ne sert à rien, puisqu'elle est faite pour être publique. La protection doit venir des règles.
Faites ensuite d'une revue une condition de mise en ligne pour tout ce qui touche aux données clients. Crissy Field le dit simplement : une plateforme de développement facile ne dispense pas d'une revue experte des droits d'accès avant qu'une application traite des données confidentielles.
À lire ensuite: Un vrai email gouvernemental vient de faire fuiter les données Revolut | Votre Photo Est Restée Un An Sur Leur Serveur
