Osegi
Sécurité·2 min de lecture

Lovable : des applications exposent passeports et données de paiement

Crissy Field a examiné 159 041 projets Lovable et repéré des applications laissant accessibles, sans connexion, des données de passeport, de paiement et plus de 200 000 messages.

Laptop screen showing app code with a red padlock warning symbol, illustrating exposed personal data in AI-built apps.
Image: اليوم السابع
SUMO Dialo ediviewer

Des applications conçues avec la plateforme d'IA Lovable ont laissé des données sensibles à la portée de n'importe qui, selon une enquête de l'entreprise allemande de cybersécurité Crissy Field. Données de passeport, informations de paiement, dossiers personnels et plus de 200 000 messages de discussion étaient accessibles sans la moindre connexion.

Lovable permet de créer des applications et des sites web en décrivant simplement ce que l'on souhaite, sans compétences avancées en programmation. L'enquête indique que faciliter le développement ne garantit pas, en soi, la protection des données traitées.

Ce qu'ont constaté les chercheurs

Crissy Field a analysé environ 159 041 projets réalisés avec Lovable. Parmi eux, 34 545 utilisaient le service de base de données Supabase, souvent associé à la plateforme. Sur 24 664 sites, des enregistrements de la base étaient envoyés dès le chargement de la page, sans demander de connexion.

Cela ne signifie pas que tous ces sites divulguaient des données privées, certaines bases contenant des informations destinées au public. Toutefois, des requêtes supplémentaires en lecture seule ont révélé des enregistrements contenant des adresses e-mail sur 7 403 sites.

Dans l'un des cas les plus graves, un service exposait plus de 1 000 fiches d'identité comprenant numéros de passeport, nationalités et dates d'expiration. D'autres applications laissaient en libre accès des informations de paiement, numéros de téléphone, adresses postales et codes de billets. Contrats, factures, albums photo personnels et échanges internes WhatsApp figuraient aussi parmi les données visibles. De telles informations peuvent servir à l'hameçonnage, à l'usurpation d'identité ou à la fraude aux billets, mais l'enquête n'a pas pu établir qu'elles aient été exploitées.

Réponse de Lovable et réserves

Lovable a indiqué au quotidien économique Handelsblatt que le problème ne se limite pas à sa plateforme et touche l'ensemble du secteur. Ses conditions d'utilisation rendent les clients responsables des applications qu'ils créent et de leur gestion des données.

Crissy Field met en garde contre une lecture de ces résultats comme un taux de fuite avéré pour toutes les applications Lovable. L'échantillon provient de Common Crawl et ne couvre pas toutes les applications de la plateforme ; les chercheurs n'ont pas non plus téléchargé l'intégralité des bases dans tous les cas.

Ces conclusions alimentent l'inquiétude autour des outils de programmation assistés par IA : ils abaissent la barrière d'entrée, mais la sécurisation des bases de données et la gestion des droits d'accès exigent toujours rigueur et vigilance.

Des apps à découvrir

SUMO : le puzzle de nombres

Touche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.

Mots-clés:lovablecrissy fieldsupabasedata leakai codingvibe coding

Plus d'actus de ce jour

Tout voir →

Plus dans: Sécurité

Tout voir →