DEV Community -alustalla julkaistu raportti kuvaa "0 dollarin tietoturvahäiriötä", jossa 24 664 tekoälyn rakentaman sovelluksen väitetään vuotaneen yli 80 000 käyttäjätietuetta, mukaan lukien passinumerot, Supabase-tietokantojensa kautta. Tämä tekoälyn rakentamien sovellusten tietovuoto Supabasen kautta on hyödyllinen muistutus siitä, että kehityksen nopeus ja käyttäjätietojen turvallisuus eivät ole sama asia.

Huomautus lähteistä: käytettävissämme oleva lähdemateriaali rajoittuu raportin otsikkoon ja lyhyeen yhteenvetoon. Siitä ei käy ilmi, kuka altistumisen havaitsi, miten sovellukset löydettiin tai mitkä tietyt sovellukset olivat vaikutuksen alaisina. Tämä artikkeli pitäytyy siinä, mitä raportti toteaa, ja merkitsee kaiken yleisen taustatiedon selkeästi sellaiseksi.

Miten väärin konfiguroidut tietokannat paljastivat käyttäjätietueita

Raportin otsikon mukaan paljastuneet tietueet tulivat sovelluksista, jotka oli rakennettu tekoälytyökaluilla ja jotka käyttivät Supabasea taustajärjestelmänään. Otsikko kehystää tapauksen myös niin, ettei sen toteuttaminen maksanut mitään, mikä viittaa siihen, ettei mukana ollut kehittynyttä hakkerointia. Lähde ei erittele mekanismeja.

Yleisenä taustatietona (ei peräisin raportista): Supabase on ylläpidetty tietokantapalvelu, ja sen tietojen käyttöä säätelevät tyypillisesti säännöt, jotka asettaa sovelluksen rakentaja, kuten rivitason tietoturva. Jos nämä säännöt puuttuvat tai ovat liian sallivia, tiedot voivat olla luettavissa henkilöiden toimesta, joiden ei pitäisi nähdä niitä. Kyse on konfiguraatio-ongelmasta eikä puutteesta, jonka hyödyntäminen vaatisi murtautumista.

Miksi vibe coding luo tämän tietoturva-aukon

"Vibe coding" tarkoittaa ohjelmiston rakentamista kuvailemalla tekoälytyökalulle, mitä haluat, ja hyväksymällä tuotettu koodi vain vähäisellä manuaalisella tarkistuksella. Se voi muuttaa idean toimivaksi sovellukseksi tunneissa. Kaupan päälle tulee se, että tietoturva-asetukset on helppo jättää huomiotta, kun sovellus näyttää toimivan.

Sovellus voi näyttää ja käyttäytyä moitteettomasti, vaikka sen taustajärjestelmä on avoin kaikille, jotka tietävät, mistä katsoa. Mikään näytöllä ei kerro käyttäjälle – tai usein rakentajallekaan – että jokin on vialla. Siksi viimeistelty käyttöliittymä on huono mittari sille, kuinka huolellisesti tietoja suojataan.

Tämä sopii myös laajempaan kaavaan, jossa tekoälytyökalut muuttavat riskikuvaa. Käsittelymme siitä, miten Aurora-ransomware-jengi käyttää tekoälykoodausagenttia hyökkäyksissä ja miten Qilin käyttää tekoälytyökaluja Japanin ransomware-hyökkäysten lisääntyessä, osoittaa tekoälyn nopeuttavan työtä myös hyökkääjien puolella.

Mitä tietoja paljastui ja ketkä ovat vaarassa

Raportin mukaan paljastuneita tietueita on yli 80 000, ja ne sisältävät passinumeroita. Passitiedot ovat yksi arkaluontoisimmista tunnisteista, joita henkilö voi jakaa, koska niitä on vaikea korvata ja ne voivat mahdollistaa identiteettipetoksen, kun ne yhdistetään nimeen, sähköpostiosoitteeseen tai syntymäaikaan.

Lähde ei täsmennä, mitkä muut kentät paljastuivat tai missä maissa vaikutuksen alaiset käyttäjät ovat. Kaikki, jotka ovat rekisteröityneet uuteen sovellukseen ja ladanneet henkilöllisyystodistuksia tai henkilötietoja, kuuluvat mahdollisesti ryhmään, johon kannattaa kiinnittää huomiota, erityisesti jos sovellus tuli pieneltä tai tuntemattomalta kehittäjältä.

Mitä tämä tarkoittaa sinulle

Et yleensä voi nähdä, miten sovellus suojaa tietokantaansa, joten käytännön puolustus on hallita sitä, mitä luovutat.

  • Kyseenalaista tarve. Jos sovellus pyytää passinumeroa tai henkilöllisyystodistuksen skannausta, kysy, tarvitseeko palvelu sitä todella.
  • Tarkista kehittäjä. Etsi nimetty yritys, tietosuojakäytäntö ja tapa ottaa yhteyttä tukeen. Ole varovainen aivan uusien sovellusten kanssa, joilla ei ole mitään näistä.
  • Käytä yksilöllisiä tunnuksia. Erillinen salasana ja sähköpostialiaksen käyttö jokaiselle uudelle palvelulle rajoittaa vahinkoja, jos yksi tietuejoukko paljastuu.
  • Jätä valinnaiset kentät väliin. Jätä pois puhelinnumerot, osoitteet ja asiakirjojen lataukset, ellei niitä vaadita.
  • Varo jatkohuijauksia. Paljastuneita tietueita käytetään usein uudelleen tietojenkalasteluun ja petoksiin, kuten nähtiin, kun Paidworkin käyttäjätietueet lisättiin HIBP:hen.

Miten arvioida sovelluksia ja rajoittaa jakamistasi

Ennen kuin luot tilin uuteen sovellukseen, käytä hetki sen tarkistamiseen. Suosi palveluita, jotka selittävät, miten ne tallentavat tietoja, ja joilla on vakiintunut tausta. Jos sovellus pyytää henkilöllisyystodistuksia, harkitse, onko olemassa vakiintuneempaa vaihtoehtoa.

Jos rakennat sovelluksia itse, yleinen neuvo on tarkistaa tietokannan käyttösäännöt ennen julkaisua sen sijaan, että luottaisit tuotettuun koodiin, ja testata sovellustasi kirjautumattomana vierailijana nähdäksesi, mitkä tiedot ovat saavutettavissa.

Keskeiset huomiot

Raportoitu tekoälyn rakentamien sovellusten tietovuoto Supabasen kautta osoittaa, että toimiva sovellus ei välttämättä ole turvallinen. Aloita tarkistamalla, esiintyykö sähköpostiosoitteesi tunnetuissa tietovuodoissa palvelun kuten Have I Been Pwnedin avulla, ja vaihda salasanat jokaiselle tilille, joka esiintyy. Anna sen jälkeen jokaiselle uudelle sovellukselle vain vähimmäismäärä henkilötietoja, joita se tarvitsee. Nähdäksesi, miten paljastuneita tietueita hyödynnetään, lue käsittelymme Paidwork-tietovuodosta, joka vuoti 23 miljoonaa sähköpostia ja pankkitietoja.