보안2026. 11. 4. 오전 10:55 UTC·2 분 소요

Lovable 앱서 여권·결제 정보 노출, 보안 조사 결과

독일 보안업체 Crissy Field가 Lovable 프로젝트 15만 9041건을 조사했습니다. 로그인 없이 여권·결제 정보와 20만 건 넘는 채팅이 노출됐습니다.

Laptop screen showing app code with a red padlock warning symbol, illustrating exposed personal data in AI-built apps. — 이미지: اليوم السابع

SUMO

Dialo

ediviewer

AI로 앱을 만드는 플랫폼 Lovable에서 제작된 앱들이 로그인 없이 민감한 정보를 노출한 사례가 여러 건 확인됐습니다. 보안 연구진에 따르면 여권 정보, 결제 정보, 개인 기록과 함께 20만 건이 넘는 채팅 메시지가 노출됐습니다.

조사는 독일 사이버보안 기업 Crissy Field가 맡았습니다. 이 회사는 Lovable로 만든 약 15만 9041개 프로젝트를 점검했으며, 결과는 독일 경제지 Handelsblatt를 통해 알려졌습니다.

노출 규모와 내용

회사에 따르면 점검 대상 가운데 3만 4545개가 데이터베이스 서비스 Supabase를 사용했습니다. 이 중 2만 4664개 사이트는 페이지를 불러오기만 해도 데이터베이스 레코드를 전송했고, 로그인도 요구하지 않았습니다.

다만 공개용 정보를 담은 데이터베이스도 있을 수 있어 모두가 비공개 정보였다고 단정할 수는 없습니다. 그럼에도 연구진이 읽기 전용 추가 요청을 보낸 결과 7403개 사이트에서 이메일 주소가 포함된 레코드가 확인됐습니다.

가장 심각한 사례에서는 한 서비스가 1000건이 넘는 신분 기록을 노출했고, 여기에는 여권 번호, 국적, 만료일이 들어 있었습니다. 다른 앱들은 고객 결제 정보, 전화번호, 우편 주소, 티켓 코드를 제한 없이 열람할 수 있게 했습니다. 계약서, 청구서, 개인 사진 앨범, WhatsApp 내부 대화도 확인됐습니다.

악용 우려와 업체 입장

이런 정보는 피싱, 신원 도용, 티켓 사기에 쓰일 수 있습니다. 하지만 조사에서는 실제로 불법 사용된 사실을 입증하지 못했습니다.

Lovable은 Handelsblatt에 이 문제가 자사 플랫폼에 국한되지 않고 앱 개발 업계 전반에 퍼져 있다고 밝혔습니다. 이용 약관은 고객이 만든 앱과 데이터 처리 방식에 대한 책임을 고객에게 두고 있습니다.

Crissy Field는 이번 결과를 Lovable로 만든 모든 앱의 유출 비율로 해석하지 말아야 한다고 경고했습니다. 조사는 Common Crawl로 수집한 표본을 기반으로 했고, 모든 앱을 대상으로 하지 않았으며, 모든 사례에서 데이터베이스 전체를 내려받지도 않았습니다.