Lovable製アプリでパスポートや決済情報が閲覧可能に

露出の規模と内容

同社によると、調査対象のうち3万4545件がデータベースサービスSupabaseを利用していた。このうち2万4664のサイトは、ページを読み込むだけでデータベースのレコードを送信しており、ログインも求めなかった。

ただし、公開を前提とした情報を含むデータベースもあるため、すべてが非公開情報とは限らない。それでも研究者が読み取り専用の追加リクエストを行ったところ、7403サイトでメールアドレスを含むレコードが見つかった。

最も深刻な例では、1000件超の身分証レコードが露出し、パスポート番号、国籍、有効期限が含まれていた。ほかのアプリでも、顧客の決済情報、電話番号、住所、チケットコードが制限なく閲覧できた。契約書、請求書、個人の写真アルバム、WhatsAppの社内やり取りも確認されたという。

悪用の懸念と各社の見解

こうした情報はフィッシング、なりすまし、チケット詐欺に使われる恐れがある。ただし、調査では実際に不正利用された事実は確認できていない。

LovableはHandelsblattに対し、問題は同社だけでなくアプリ開発業界全体に広がっていると説明した。利用規約では、顧客が作成したアプリとそのデータの扱いについて顧客が責任を負うと定めている。

Crissy Fieldは、結果をLovable製の全アプリの漏えい率とみなさないよう注意を促した。調査はCommon Crawlで集めた標本に基づき、全アプリを対象としたものではない。すべてのケースでデータベース全体をダウンロードしたわけでもないという。