24.664 Lovable-apps antwoordden zonder login

Wat de scan vond

Een vastgoedbeheerder vroeg een AI-tool om een app die de inbox samenvat, en de app die het kreeg publiceerde die samenvattingen, inclusief huurdersgegevens, voor iedereen die het juiste adres opende. Dat bedrijf is een van de gevallen die het Duitse beveiligingsbedrijf Crissy Field deze week beschreef. Het haalde 159.041 projecten van Lovable, het Zweedse vibe-codingplatform, uit het archief Common Crawl en vroeg elke database wat die aan een vreemde zou geven.

Evenementorganisatoren en restaurants lieten bestellingen en tickets zien met telefoonnummers, postadressen, betaalgegevens en ticketcodes. Andere tabellen bevatten contracten, facturen, fotoalbums en interne WhatsApp-berichten. De resultaten verschenen eerst in de Duitse zakenkrant Handelsblatt.

Niemand heeft ingebroken

Hier was geen aanval voor nodig, want de apps gaven de data door hun ontwerp aan elke bezoeker. De onderzoekers gebruikten alleen leesverzoeken en dezelfde publieke sleutel die elke pagina aan de browser geeft. Wat ontbrak was Row Level Security, de Supabase-instelling die bepaalt welke rijen een bezoeker mag lezen. Zonder die instelling opent de publieke sleutel de hele tabel.

Lovable antwoordde de onderzoekers dat het om een bekend, sectorbreed configuratieprobleem in het gebruik van Supabase gaat, en de cijfers bevestigen dat deel. In september testte UpGuard zo'n 300.000 domeinen met tekenen van Supabase en vond 16.326 databases met leesbare tabellen, meer dan de helft met aanwijzingen voor persoonsgegevens. Volgens UpGuard was de gemene deler dat AI-programmeeragenten de sites hadden gebouwd en dat de beheerders de configuratie niet kenden.

Onze lezing is dat de beveiligingsbeslissing is verschoven. Vroeger lag die bij een ontwikkelaar die de databaseregels koos. Nu ligt die bij wie de prompt typt, en beide leveranciers zeggen dat de configuratie de zaak van de klant is. Lovable meldt meer dan 50 miljoen gebouwde projecten en 1,2 miljoen nieuwe per week. Heel veel mensen dragen dus een beslissing waarvan ze niet weten dat ze die namen.

Waarom het telt onder de AVG

Het bedrijf dat een app publiceert bepaalt doel en middelen van de verwerking en is daarmee verwerkingsverantwoordelijke onder de AVG, wie de code ook schreef. Lovable en Supabase leveren het gereedschap. Een salesteam dat een leadformulier bouwde, of een officemanager met een eigen boekingstool, heeft de naam van het bedrijf op de database erachter gezet.

Een open tabel met persoonsgegevens is een inbreuk op de vertrouwelijkheid die de verantwoordelijke moet beoordelen. Is een risico voor de betrokkenen waarschijnlijk, dan geeft artikel 33 72 uur na ontdekking om de Autoriteit Persoonsgegevens te informeren. De onderzoekers lazen alleen wat hun werd aangeboden. Of iemand anders dat ook deed, kunnen alleen uw eigen logs beantwoorden, en veel snel gebouwde apps houden er geen bij die die naam verdienen.

Wat u deze week doet

Begin met een inventaris, want de meest kwetsbare apps zijn de apps die IT nooit heeft goedgekeurd. Vraag elk team welke tools het met Lovable, Bolt, Replit of vergelijkbare diensten bouwde en welke daarvan klant- of personeelsgegevens verzamelen.

Controleer bij elk project op Supabase of Row Level Security aanstaat voor elke tabel met persoonsgegevens en of een policy elke rij beperkt tot de mensen die hem mogen zien. De beveiligingsadviseur van Supabase markeert tabellen zonder die bescherming. De publieke sleutel verbergen helpt niet, want die is bedoeld om publiek te zijn. De bescherming moet uit de policies komen.

Maak daarna een review een voorwaarde om live te gaan voor alles wat klantdata raakt. Crissy Field zegt het duidelijk: een makkelijk ontwikkelplatform neemt de noodzaak van een deskundige controle van toegangsrechten niet weg voordat een applicatie vertrouwelijke gegevens verwerkt.

Lees hierna: Een echte overheidsmail lekte zojuist de data van Revolut  |  Jouw Rijbewijsfoto Lag Een Jaar Op Hun Server