تطبيقات Lovable كشفت جوازات سفر وبيانات دفع دون تسجيل دخول

جوازات السفر ومعلومات الدفع مكشوفة

وفقا لما نشرته صحيفة Handelsblatt الألمانية، فحص باحثون في شركة الأمن السيبراني الألمانية Crissy Field نحو 159041 مشروعا أُنشئ عبر Lovable. واستخدم 34545 مشروعا منها خدمة قواعد البيانات Supabase التي تُدمج عادة مع المنصة. ووجد الباحثون أن 24664 موقعا كانت ترسل سجلات من قواعد البيانات بمجرد تحميل الصفحة، دون مطالبة الزائر بتسجيل الدخول.

ولا يعني ذلك أن كل هذه المواقع كشفت معلومات خاصة، فقد تحتوي بعض القواعد على تفاصيل مخصصة للعرض العام. غير أن الباحثين أجروا طلبات إضافية للقراءة فقط، واكتشفوا سجلات تتضمن عناوين بريد إلكتروني في 7403 مواقع. وفي إحدى أخطر الحالات، كشفت خدمة واحدة أكثر من ألف سجل هوية تتضمن أرقام جوازات السفر والجنسيات وتواريخ انتهاء الصلاحية. كما تركت تطبيقات أخرى معلومات دفع العملاء وأرقام هواتفهم وعناوينهم البريدية ورموز التذاكر متاحة دون قيود. وشملت المعلومات أيضا عقودا وفواتير وألبومات صور شخصية ومراسلات داخلية عبر واتساب.

ويمكن استغلال هذه البيانات في التصيد الاحتيالي أو سرقة الهوية أو الاحتيال المتعلق بالتذاكر، إلا أن التحقيق لم يتمكن من إثبات استخدام أي جهة لها بصورة غير مشروعة.

المسؤولية وحدود النتائج

أبلغت Lovable صحيفة Handelsblatt بأن المشكلة لا تقتصر على منصتها، بل تنتشر في قطاع تطوير التطبيقات عموما. وتنص شروط الاستخدام على أن العملاء مسؤولون عن التطبيقات التي ينشئونها وطريقة تعاملها مع البيانات.

من جهتها، حذرت Crissy Field من اعتبار النتائج مؤشرا مؤكدا على معدل تسريب البيانات في جميع تطبيقات Lovable. فقد اعتمد الفحص على عينة جُمعت عبر خدمة Common Crawl ولم تشمل كل التطبيقات على المنصة، كما لم ينزّل الباحثون قواعد البيانات كاملة في كل الحالات.