Che cosa ha trovato l'analisi
Una società di gestione immobiliare ha chiesto a uno strumento di IA un'app che riassumesse la sua casella di posta, e l'app ottenuta ha pubblicato quei riassunti, dati degli inquilini compresi, per chiunque aprisse l'indirizzo giusto. È uno dei casi descritti questa settimana dalla società tedesca di sicurezza Crissy Field, che ha estratto dall'archivio Common Crawl 159.041 progetti creati su Lovable, la piattaforma svedese di vibe coding, e ha chiesto a ogni database che cosa avrebbe consegnato a uno sconosciuto.
| Risultato | Numero |
|---|---|
| Progetti Lovable analizzati | 159.041 |
| Di cui su Supabase | 34.545 |
| Hanno restituito record senza login | 24.664 |
| Siti con indirizzi e-mail leggibili | 7.403, su più di 10.500 tabelle |
| Messaggi di un forum lifestyle | Più di 200.000, più 80.000 profili |
| Dati di passaporto di un fornitore | Più di 1.000 |
Organizzatori di eventi e ristoranti esponevano ordini e biglietti con numeri di telefono, indirizzi postali, dati di pagamento e codici dei biglietti. Altre tabelle contenevano contratti, fatture, album fotografici e messaggi WhatsApp interni. I risultati sono usciti per primi sul quotidiano economico tedesco Handelsblatt.
Nessuno è entrato con la forza
Non è servito alcun attacco, perché le app davano i dati a ogni visitatore per come erano costruite. I ricercatori hanno usato solo richieste in lettura e la stessa chiave pubblica che ogni pagina passa al browser. Mancava la Row Level Security, l'impostazione di Supabase che stabilisce quali righe un visitatore può leggere. Senza di essa la chiave pubblica apre l'intera tabella.
Lovable ha risposto ai ricercatori che si tratta di un problema di configurazione noto e diffuso in tutto il settore nell'uso di Supabase, e i numeri le danno ragione su questo punto. A settembre UpGuard ha esaminato circa 300.000 domini con segni di Supabase e ha trovato 16.326 database con tabelle leggibili, più della metà con indizi di dati personali. Secondo UpGuard, il filo comune era che i siti erano stati creati da agenti di programmazione IA e chi li gestiva non conosceva la loro configurazione.
La nostra lettura è che la decisione sulla sicurezza è passata di mano. Prima spettava a uno sviluppatore che fissava le regole del database. Ora spetta a chi scrive il prompt, e entrambi i fornitori dicono che la configurazione è compito del cliente. Lovable dichiara più di 50 milioni di progetti e 1,2 milioni di nuovi ogni settimana. Moltissime persone portano quindi il peso di una decisione che non sanno di aver preso.
Perché conta con il GDPR
L'azienda che pubblica un'app decide finalità e mezzi del trattamento, e per questo è titolare del trattamento ai sensi del GDPR, chiunque abbia scritto il codice. Lovable e Supabase forniscono gli strumenti. Un team commerciale che ha creato un modulo per i contatti, o un ufficio che ha costruito uno strumento di prenotazione, ha messo il nome dell'azienda sul database che c'è dietro.
Una tabella aperta di dati personali è una violazione della riservatezza che il titolare deve valutare. Se è probabile che comporti un rischio per le persone, l'articolo 33 concede 72 ore da quando se ne viene a conoscenza per notificarla al Garante per la protezione dei dati personali. I ricercatori hanno letto solo ciò che veniva offerto. Se qualcun altro lo abbia fatto è una domanda a cui possono rispondere solo i vostri log, e molte app costruite in fretta non ne tengono di degni di questo nome.
Che cosa fare questa settimana
Cominciate da un inventario, perché le app più a rischio sono quelle che l'IT non ha mai approvato. Chiedete a ogni team quali strumenti ha creato con Lovable, Bolt, Replit o servizi simili e quali raccolgono dati di clienti o dipendenti.
Per ogni progetto su Supabase verificate che la Row Level Security sia attiva su ogni tabella con dati personali e che una policy limiti ogni riga alle persone che devono vederla. Il consulente di sicurezza di Supabase segnala le tabelle che ne sono prive. Nascondere la chiave pubblica non serve, perché è fatta per essere pubblica. La protezione deve venire dalle policy.
Poi rendete una revisione obbligatoria prima della messa online di tutto ciò che tocca dati dei clienti. Crissy Field lo dice chiaramente: una piattaforma di sviluppo facile non elimina la necessità di una revisione esperta dei permessi di accesso prima che un'applicazione gestisca dati riservati.
Da leggere ora: Un'email governativa autentica ha fatto trapelare i dati di Revolut | La Tua Foto È Rimasta Un Anno Sul Loro Server
