Lovable uygulamaları pasaport ve ödeme verilerini açıkta bıraktı

Pasaport ve ödeme bilgileri herkese açıktı

Alman Handelsblatt gazetesinin aktardığına göre, Alman siber güvenlik şirketi Crissy Field, Lovable ile oluşturulmuş yaklaşık 159.041 projeyi inceledi. Bunların 34.545'i, Lovable ile sık entegre edilen Supabase veritabanı hizmetini kullanıyordu. 24.664 sitede ise sayfalar yüklenir yüklenmez veritabanı kayıtları, kullanıcıdan giriş istenmeden tarayıcıya gönderiliyordu.

Bu, söz konusu sitelerin tamamının özel bilgi sızdırdığı anlamına gelmiyor; bazı veritabanları zaten herkese açık gösterim için hazırlanmış olabilir. Yine de araştırmacılar yalnızca okuma amaçlı ek sorgular yaptı ve 7.403 sitede e-posta adresi içeren kayıtlar buldu. En ciddi vakalardan birinde bir hizmet, pasaport numaralarını, uyrukları ve geçerlilik tarihlerini içeren bin__den fazla kimlik kaydını açığa çıkardı. Diğer uygulamalar müşterilerin ödeme bilgilerini, telefon numaralarını, posta adreslerini ve bilet kodlarını kısıtlama olmadan erişilebilir bıraktı. Ayrıca sözleşmeler, faturalar, kişisel fotoğraf albümleri ve WhatsApp üzerinden yapılan iç yazışmalar da tespit edildi.

Bu tür bilgiler kimlik avı, kimlik hırsızlığı veya bilet dolandırıcılığında kullanılabilir. Ancak araştırma, verilerin herhangi bir tarafça yasa dışı biçimde kullanıldığını kanıtlayamadı.

Sorumluluk ve çekinceler

Lovable, Handelsblatt'a sorunun yalnızca kendi platformuna özgü olmadığını, uygulama geliştirme sektöründe yaygın olduğunu söyledi. Kullanım koşullarına göre müşteriler, oluşturdukları uygulamalardan ve bunların verileri nasıl işlediğinden sorumlu.

Crissy Field ise sonuçların tüm Lovable uygulamalarındaki sızıntı oranını gösteren kesin bir ölçüt sayılmaması gerektiğini vurguladı. Örneklem Common Crawl hizmetiyle toplandı, platformdaki tüm uygulamaları kapsamıyor. Araştırmacılar her durumda veritabanlarının tamamını da indirmedi.