24 664 aplikacje Lovable odpowiadały bez logowania

Co wykazało skanowanie

Firma zarządzająca nieruchomościami poprosiła narzędzie AI o aplikację streszczającą jej skrzynkę pocztową, a otrzymana aplikacja opublikowała te streszczenia, razem z danymi najemców, dla każdego, kto otworzył właściwy adres. To jeden z przypadków opisanych w tym tygodniu przez niemiecką firmę bezpieczeństwa Crissy Field. Pobrała ona z archiwum Common Crawl 159 041 projektów zbudowanych na Lovable, szwedzkiej platformie do vibe codingu, i zapytała każdą bazę danych, co wydałaby obcej osobie.

Organizatorzy wydarzeń i restauracje ujawniały zamówienia i bilety z numerami telefonów, adresami pocztowymi, danymi płatności i kodami biletów. Inne tabele zawierały umowy, faktury, albumy zdjęć i wewnętrzne wiadomości z WhatsAppa. Wyniki ukazały się najpierw w niemieckim dzienniku gospodarczym Handelsblatt.

Nikt się nie włamał

Nic z tego nie wymagało ataku, bo aplikacje z założenia oddawały dane każdemu odwiedzającemu. Badacze używali wyłącznie zapytań do odczytu i tego samego klucza publicznego, który każda strona przekazuje przeglądarce. Brakowało Row Level Security, czyli ustawienia Supabase, które decyduje, jakie wiersze może czytać odwiedzający. Bez niego klucz publiczny otwiera całą tabelę.

Lovable odpowiedziało badaczom, że chodzi o znany, ogólnobranżowy problem z konfiguracją przy korzystaniu z Supabase, i liczby potwierdzają tę część. We wrześniu UpGuard sprawdził około 300 000 domen ze śladami Supabase i znalazł 16 326 baz danych z czytelnymi tabelami, w ponad połowie z oznakami danych osobowych. Według UpGuard wspólnym mianownikiem było to, że strony zbudowały agenty programistyczne AI, a ich właściciele nie znali konfiguracji.

Nasza ocena jest taka, że decyzja o bezpieczeństwie zmieniła właściciela. Kiedyś należała do programisty, który ustalał reguły bazy danych. Teraz należy do tego, kto wpisuje prompt, a obaj dostawcy mówią, że konfiguracja to sprawa klienta. Lovable podaje ponad 50 milionów zbudowanych projektów i 1,2 miliona nowych tygodniowo. Bardzo wiele osób dźwiga więc decyzję, o której nie wie, że ją podjęło.

Dlaczego to ważne w świetle RODO

Firma, która publikuje aplikację, ustala cele i sposoby przetwarzania, więc w rozumieniu RODO jest administratorem danych, niezależnie od tego, kto napisał kod. Lovable i Supabase dostarczają narzędzia. Zespół sprzedaży, który zbudował formularz kontaktowy, albo biuro z własnym narzędziem do rezerwacji, umieściło nazwę firmy na bazie danych, która za nimi stoi.

Otwarta tabela z danymi osobowymi to naruszenie poufności, które administrator musi ocenić. Jeśli prawdopodobnie powoduje ryzyko dla osób, których dotyczy, artykuł 33 daje 72 godziny od stwierdzenia naruszenia na zgłoszenie go do UODO. Badacze czytali tylko to, co im udostępniono. Czy zrobił to ktoś jeszcze, mogą rozstrzygnąć tylko wasze własne logi, a wiele szybko zbudowanych aplikacji nie prowadzi żadnych, które zasługiwałyby na tę nazwę.

Co zrobić w tym tygodniu

Zacznijcie od inwentaryzacji, bo najbardziej narażone są aplikacje, których dział IT nigdy nie zatwierdził. Zapytajcie każdy zespół, jakie narzędzia zbudował w Lovable, Bolt, Replit lub podobnych usługach i które z nich zbierają dane klientów lub pracowników.

Dla każdego projektu na Supabase sprawdźcie, czy Row Level Security jest włączone dla każdej tabeli z danymi osobowymi i czy polityka ogranicza każdy wiersz do osób, które powinny go widzieć. Doradca bezpieczeństwa Supabase oznacza tabele bez tej ochrony. Ukrywanie klucza publicznego nic nie daje, bo ma on być publiczny. Ochrona musi wynikać z polityk.

Następnie uczyńcie przegląd warunkiem uruchomienia wszystkiego, co dotyka danych klientów. Crissy Field mówi to wprost: łatwa platforma programistyczna nie zwalnia z eksperckiego przeglądu uprawnień dostępu, zanim aplikacja zacznie przetwarzać poufne dane.

Czytaj dalej: Prawdziwy rządowy e-mail ujawnił dane klientów Revolut  |  Twoje Zdjęcie Z Prawa Jazdy Leżało Rok Na Ich Serwerze