Μια αναφορά που δημοσιεύθηκε στο DEV Community περιγράφει ένα «παραβίαση ασφαλείας με κόστος $0» κατά την οποία 24.664 εφαρμογές που δημιουργήθηκαν με AI φέρεται να διέρρευσαν περισσότερα από 80.000 αρχεία χρηστών, συμπεριλαμβανομένων αριθμών διαβατηρίων, μέσω βάσεων δεδομένων Supabase. Αυτή η περίπτωση διαρροής δεδομένων από εφαρμογές που δημιουργήθηκαν με AI και τη Supabase αποτελεί μια χρήσιμη υπενθύμιση ότι η ταχύτητα ανάπτυξης και η ασφάλεια των δεδομένων των χρηστών δεν είναι το ίδιο πράγμα.
Μια σημείωση για την πηγή: το υλικό που έχουμε στη διάθεσή μας περιορίζεται στον τίτλο της αναφοράς και σε μια σύντομη σύνοψη. Δεν μας λέει ποιος εντόπισε την έκθεση, πώς βρέθηκαν οι εφαρμογές ή ποιες συγκεκριμένες εφαρμογές επηρεάστηκαν. Αυτό το άρθρο περιορίζεται σε όσα αναφέρει η αναφορά και επισημαίνει σαφώς οποιοδήποτε γενικό υπόβαθρο ως τέτοιο.
Πώς οι λανθασμένα ρυθμισμένες βάσεις δεδομένων εξέθεσαν αρχεία χρηστών
Σύμφωνα με τον τίτλο της αναφοράς, τα εκτεθειμένα αρχεία προήλθαν από εφαρμογές που δημιουργήθηκαν με εργαλεία AI και χρησιμοποιούσαν τη Supabase ως backend. Ο τίτλος επίσης παρουσιάζει το περιστατικό ως μηδενικού κόστους για να πραγματοποιηθεί, γεγονός που υποδηλώνει ότι δεν υπήρξε περίπλοκο hacking. Η πηγή δεν περιγράφει λεπτομερώς τον μηχανισμό.
Ως γενικό υπόβαθρο (όχι από την αναφορά): Η Supabase είναι μια φιλοξενούμενη υπηρεσία βάσεων δεδομένων και η πρόσβαση στα δεδομένα της ελέγχεται συνήθως από κανόνες που ορίζει όποιος κατασκευάζει την εφαρμογή, όπως η ασφάλεια σε επίπεδο γραμμής. Εάν αυτοί οι κανόνες λείπουν ή είναι υπερβολικά επιτρεπτικοί, τα δεδομένα μπορεί να είναι αναγνώσιμα από άτομα που δεν θα έπρεπε να τα βλέπουν. Αυτό είναι ένα πρόβλημα διαμόρφωσης και όχι ένα ελάττωμα που απαιτεί παραβίαση.
Γιατί το vibe coding δημιουργεί αυτό το κενό ασφαλείας
Το «vibe coding» αναφέρεται στην κατασκευή λογισμικού περιγράφοντας τι θέλετε σε ένα εργαλείο AI και αποδεχόμενοι τον παραγόμενο κώδικα με ελάχιστη χειροκίνητη αναθεώρηση. Μπορεί να μετατρέψει μια ιδέα σε μια λειτουργική εφαρμογή σε ώρες. Το μειονέκτημα είναι ότι οι ρυθμίσεις ασφαλείας είναι εύκολο να παραβλεφθούν όταν η εφαρμογή φαίνεται να λειτουργεί.
Μια εφαρμογή μπορεί να φαίνεται και να συμπεριφέρεται τέλεια ενώ το backend της είναι ανοιχτό σε οποιονδήποτε ξέρει πού να ψάξει. Τίποτα στην οθόνη δεν λέει σε έναν χρήστη, ή συχνά στον κατασκευαστή, ότι κάτι πάει στραβά. Γι' αυτό μια γυαλισμένη διεπαφή είναι ένας κακός δείκτης του πόσο προσεκτικά προστατεύονται τα δεδομένα.
Αυτό επίσης ταιριάζει με ένα ευρύτερο μοτίβο εργαλείων AI που αλλάζουν το τοπίο του κινδύνου. Η κάλυψή μας για το πώς η συμμορία ransomware Aurora αναπτύσσει έναν πράκτορα κωδικοποίησης AI σε επιθέσεις και για το πώς η Qilin χρησιμοποιεί εργαλεία AI καθώς αυξάνονται οι επιθέσεις ransomware στην Ιαπωνία δείχνει ότι η AI επιταχύνει την εργασία και στην πλευρά των επιτιθέμενων.
Ποια δεδομένα εκτέθηκαν και ποιος κινδυνεύει
Η αναφορά λέει ότι τα εκτεθειμένα αρχεία αριθμούν περισσότερα από 80.000 και περιλαμβάνουν αριθμούς διαβατηρίων. Τα στοιχεία διαβατηρίου είναι από τα πιο ευαίσθητα αναγνωριστικά που μπορεί να μοιραστεί ένα άτομο, επειδή είναι δύσκολο να αντικατασταθούν και μπορούν να υποστηρίξουν απάτη ταυτότητας όταν συνδυάζονται με ένα όνομα, μια διεύθυνση email ή μια ημερομηνία γέννησης.
Η πηγή δεν προσδιορίζει ποια άλλα πεδία εκτέθηκαν ή σε ποιες χώρες βρίσκονται οι επηρεαζόμενοι χρήστες. Οποιοσδήποτε εγγράφηκε σε μια νεότερη εφαρμογή και ανέβασε έγγραφα ταυτότητας ή προσωπικά στοιχεία βρίσκεται δυνητικά στην ομάδα που αξίζει προσοχής, ειδικά αν η εφαρμογή προήλθε από έναν μικρό ή άγνωστο προγραμματιστή.
Τι σημαίνει αυτό για εσάς
Συνήθως δεν μπορείτε να δείτε πώς μια εφαρμογή προστατεύει τη βάση δεδομένων της, οπότε η πρακτική άμυνα είναι να ελέγχετε τι παραδίδετε.
- Αμφισβητήστε την ανάγκη. Εάν μια εφαρμογή ζητά αριθμό διαβατηρίου ή σάρωση ταυτότητας, ρωτήστε αν η υπηρεσία το απαιτεί πραγματικά.
- Ελέγξτε τον προγραμματιστή. Αναζητήστε μια επώνυμη εταιρεία, μια πολιτική απορρήτου και έναν τρόπο επικοινωνίας με την υποστήριξη. Να είστε επιφυλακτικοί με ολοκαίνουργιες εφαρμογές που δεν έχουν κανένα από αυτά.
- Χρησιμοποιήστε μοναδικά διαπιστευτήρια. Ένας ξεχωριστός κωδικός πρόσβασης και ένα ψευδώνυμο email για κάθε νέα υπηρεσία περιορίζουν τη ζημιά εάν εκτεθεί ένα σύνολο αρχείων.
- Παραλείψτε προαιρετικά πεδία. Αφήστε έξω αριθμούς τηλεφώνου, διευθύνσεις και μεταφορτώσεις εγγράφων εκτός εάν απαιτούνται.
- Προσέξτε για επακόλουθες απάτες. Τα εκτεθειμένα αρχεία συχνά επαναχρησιμοποιούνται για phishing και απάτη, όπως φάνηκε όταν αρχεία χρηστών του Paidwork προστέθηκαν στο HIBP.
Πώς να ελέγχετε εφαρμογές και να περιορίζετε τι μοιράζεστε
Πριν δημιουργήσετε λογαριασμό σε μια νέα εφαρμογή, αφιερώστε ένα λεπτό για να την εξετάσετε. Προτιμήστε υπηρεσίες που εξηγούν πώς αποθηκεύουν δεδομένα και που έχουν καθιερωμένο ιστορικό. Εάν μια εφαρμογή ζητά έγγραφα ταυτότητας, εξετάστε αν υπάρχει μια πιο καθιερωμένη εναλλακτική.
Εάν κατασκευάζετε εφαρμογές μόνοι σας, η γενική συμβουλή είναι να ελέγχετε τους κανόνες πρόσβασης στη βάση δεδομένων πριν από την κυκλοφορία αντί να εμπιστεύεστε τον παραγόμενο κώδικα, και να δοκιμάζετε την εφαρμογή σας ως μη αυθεντικοποιημένος επισκέπτης για να δείτε ποια δεδομένα είναι προσβάσιμα.
Βασικά συμπεράσματα
Το αναφερόμενο περιστατικό διαρροής δεδομένων από εφαρμογές που δημιουργήθηκαν με AI και τη Supabase δείχνει ότι μια λειτουργική εφαρμογή δεν είναι απαραίτητα ασφαλής. Ξεκινήστε ελέγχοντας αν το email σας εμφανίζεται σε γνωστές παραβιάσεις χρησιμοποιώντας μια υπηρεσία όπως το Have I Been Pwned, και αλλάξτε κωδικούς πρόσβασης για οποιονδήποτε λογαριασμό εμφανίζεται. Στη συνέχεια, δώστε σε κάθε νέα εφαρμογή μόνο τα ελάχιστα προσωπικά δεδομένα που χρειάζεται. Για να δείτε πώς χρησιμοποιούνται τα εκτεθειμένα αρχεία, διαβάστε την κάλυψή μας για την παραβίαση του Paidwork που διέρρευσε 23 εκατομμύρια emails και τραπεζικά δεδομένα.
