Bezpieczeństwo4 lis 2026, 10:55 UTC·2 min czytania

Lovable: aplikacje ujawniały paszporty i dane płatnicze

Niemiecka firma Crissy Field przeskanowała 159 041 projektów z Lovable. Część serwisów udostępniała dane paszportowe, płatnicze i ponad 200 tys. wiadomości z czatów bez logowania.

Laptop screen showing app code with a red padlock warning symbol, illustrating exposed personal data in AI-built apps. — Zdjęcie: اليوم السابع

SUMO

Dialo

ediviewer

Platforma Lovable, służąca do tworzenia aplikacji za pomocą AI, stanęła przed nowymi pytaniami o bezpieczeństwo danych. Badacze odkryli wiele przypadków, w których wrażliwe informacje użytkowników były dostępne bez logowania. Chodzi o dane paszportowe, informacje płatnicze, rekordy osobowe oraz ponad 200 tys. wiadomości z czatów.

Lovable pozwala budować aplikacje i strony internetowe po prostu przez opisanie, co mają robić, bez zaawansowanej wiedzy programistycznej. Nowe badanie pokazuje jednak, że łatwiejsze tworzenie oprogramowania nie gwarantuje ochrony przetwarzanych w nim danych.

Paszporty i dane płatnicze w otwartym dostępie

Specjaliści z niemieckiej firmy Crissy Field, na której ustalenia powołał się dziennik Handelsblatt, sprawdzili około 159 041 projektów stworzonych w Lovable. Z tej puli 34 545 projektów korzystało z bazy danych Supabase, często łączonej z platformą. W 24 664 serwisach rekordy z bazy trafiały do przeglądarki już przy ładowaniu strony, bez konieczności logowania.

Nie oznacza to, że wszystkie te strony ujawniały dane prywatne, bo część baz może zawierać treści przeznaczone do publicznego wglądu. Badacze wykonali jednak dodatkowe zapytania wyłącznie do odczytu i znaleźli adresy e-mail w 7403 serwisach. W jednym z najpoważniejszych przypadków usługa ujawniała ponad tysiąc rekordów tożsamości z numerami paszportów, obywatelstwami i datami ważności. Inne aplikacje zostawiały bez ograniczeń dane płatnicze klientów, numery telefonów, adresy pocztowe i kody biletów. Wśród odkrytych materiałów były też umowy, faktury, albumy zdjęć prywatnych oraz wewnętrzna korespondencja z WhatsAppa.

Takie informacje mogą posłużyć do phishingu, kradzieży tożsamości lub oszustw związanych z biletami. Badanie nie wykazało jednak, by ktokolwiek wykorzystał te dane w sposób bezprawny.

Odpowiedzialność i zastrzeżenia

Lovable przekazało Handelsblatt, że problem nie dotyczy tylko jej platformy, lecz całej branży tworzenia aplikacji. Zgodnie z regulaminem to klienci odpowiadają za swoje aplikacje i sposób, w jaki obsługują dane.

Crissy Field ostrzega z kolei, by nie traktować wyników jako potwierdzonego wskaźnika wycieków we wszystkich aplikacjach Lovable. Próbka projektów pochodziła z usługi Common Crawl i nie obejmuje wszystkich aplikacji na platformie. Badacze nie we wszystkich przypadkach pobierali też całe bazy danych.