Seguridad4 nov 2026, 10:55 UTC·2 min de lectura

Apps de Lovable expusieron pasaportes y datos de pago, según un estudio

La firma alemana Crissy Field analizó 159.041 proyectos de Lovable y halló apps que dejaban a la vista datos de pasaportes, pagos y más de 200.000 mensajes sin iniciar sesión.

Laptop screen showing app code with a red padlock warning symbol, illustrating exposed personal data in AI-built apps. — Imagen: اليوم السابع

SUMO

Dialo

ediviewer

Aplicaciones creadas con la plataforma de IA Lovable han dejado datos sensibles de usuarios al alcance de cualquiera, según una investigación de la empresa alemana de ciberseguridad Crissy Field. Datos de pasaportes, información de pago, registros personales y más de 200.000 mensajes de chat eran accesibles sin iniciar sesión.

Lovable permite crear aplicaciones y sitios web con solo describir lo que se quiere, sin conocimientos avanzados de programación. La investigación sugiere que facilitar el desarrollo no garantiza por sí solo la protección de los datos que esas apps manejan.

Lo que encontraron los investigadores

Crissy Field examinó unos 159.041 proyectos hechos con Lovable. De ellos, 34.545 usaban el servicio de bases de datos Supabase, habitual en combinación con la plataforma. En 24.664 sitios web, los registros de la base de datos se enviaban en cuanto se cargaba la página, sin pedir inicio de sesión.

Eso no implica que todos esos sitios filtraran información privada, ya que algunas bases contienen datos pensados para ser públicos. Aun así, con solicitudes adicionales de solo lectura, los investigadores hallaron registros con direcciones de correo electrónico en 7.403 sitios.

En uno de los casos más graves, un servicio exponía más de 1.000 registros de identidad con números de pasaporte, nacionalidades y fechas de caducidad. Otras apps dejaron sin restricciones datos de pago de clientes, teléfonos, direcciones postales y códigos de entradas. También había contratos, facturas, álbumes de fotos personales y conversaciones internas de WhatsApp. Esa información podría usarse para phishing, robo de identidad o fraude con entradas, aunque la investigación no pudo demostrar que alguien la haya utilizado de forma ilícita.

Respuesta de Lovable y matices

Lovable dijo al diario económico Handelsblatt que el problema no es exclusivo de su plataforma, sino que se extiende por todo el sector del desarrollo de apps. Sus términos de uso hacen responsables a los clientes de las aplicaciones que crean y de cómo tratan los datos.

Crissy Field advirtió de que los resultados no deben tomarse como una tasa confirmada de filtraciones en todas las apps de Lovable. La muestra se obtuvo mediante Common Crawl y no abarca todas las aplicaciones de la plataforma; además, no siempre se descargaron las bases de datos completas.

Los hallazgos refuerzan la preocupación por las herramientas de programación con IA: reducen la barrera para crear software, pero proteger las bases de datos y gestionar los permisos de acceso sigue exigiendo atención y rigor.