Приложения Lovable раскрыли паспорта и платёжные данные

Паспорта и платёжные данные в открытом доступе

По данным газеты Handelsblatt, специалисты немецкой компании по кибербезопасности Crissy Field изучили около 159 041 проекта, созданного в Lovable. Из них 34 545 проектов использовали базу данных Supabase, которую часто подключают к платформе. На 24 664 сайтах записи из базы отправлялись в браузер сразу при загрузке страницы, без запроса входа.

Это не значит, что все такие сайты раскрывали личную информацию: часть баз может содержать данные, предназначенные для публичного показа. Тем не менее исследователи выполнили дополнительные запросы только на чтение и нашли записи с адресами электронной почты на 7403 сайтах. В одном из самых серьёзных случаев сервис раскрывал более тысячи записей об удостоверениях личности с номерами паспортов, гражданством и сроками действия. Другие приложения оставили без ограничений платёжные данные клиентов, телефоны, почтовые адреса и коды билетов. Среди обнаруженных материалов также были договоры, счета, альбомы личных фотографий и внутренняя переписка в WhatsApp.

Такие сведения могут использоваться для фишинга, кражи личности или мошенничества с билетами. При этом расследование не смогло доказать, что кто-либо уже незаконно воспользовался этими данными.

Ответственность и оговорки

Lovable сообщила Handelsblatt, что проблема не ограничивается её платформой, а распространена во всей отрасли разработки приложений. Согласно условиям использования, ответственность за созданные приложения и обработку данных несут клиенты.

В Crissy Field предупредили, что результаты нельзя считать подтверждённым показателем утечек среди всех приложений Lovable. Выборка собрана через сервис Common Crawl и не охватывает все приложения платформы, а базы данных исследователи скачивали не во всех случаях целиком.