A DEV Community-n közzétett jelentés egy „0 dolláros biztonsági incidensről” számol be, amelyben 24 664 AI-val épített alkalmazás állítólag több mint 80 000 felhasználói rekordot szivárogtatott ki – köztük útlevélszámokat – a Supabase adatbázisain keresztül. Ez az AI-val épített alkalmazások adatszivárgása a Supabase esetében jó emlékeztető arra, hogy a fejlesztés sebessége és a felhasználói adatok biztonsága nem ugyanaz a dolog.

Megjegyzés a forrásokról: a rendelkezésünkre álló forrásanyag a jelentés címére és egy rövid összefoglalóra korlátozódik. Nem derül ki belőle, hogy ki azonosította a kitettséget, hogyan találták meg az alkalmazásokat, vagy mely konkrét alkalmazások érintettek. Ez a cikk ahhoz tartja magát, amit a jelentés állít, és az általános háttérinformációkat egyértelműen annak jelöli.

Hogyan tették ki a helytelenül konfigurált adatbázisok a felhasználói rekordokat

A jelentés címe szerint a kiszivárgott rekordok olyan AI-eszközökkel épített alkalmazásokból származtak, amelyek a Supabase-t használták backendként. A főcím azt is megfogalmazza, hogy az incidens végrehajtása semmibe sem került, ami arra utal, hogy nem volt szó kifinomult hackelésről. A forrás nem részletezi a mechanizmusokat.

Általános háttérként (nem a jelentésből származik): a Supabase egy hosztolt adatbázis-szolgáltatás, és az adataihoz való hozzáférést általában az alkalmazást építő személy által meghatározott szabályok szabályozzák, például a sor szintű biztonság (row level security). Ha ezek a szabályok hiányoznak vagy túl megengedőek, az adatok olvashatók lehetnek olyan személyek számára, akiknek nem kellene látniuk őket. Ez konfigurációs probléma, nem pedig olyan hiba, amelynek kihasználásához be kellene törni.

Miért teremt a vibe coding biztonsági rést

A „vibe coding” azt jelenti, hogy szoftvert úgy építünk, hogy elmondjuk egy AI-eszköznek, mit szeretnénk, és elfogadjuk a generált kódot kevés manuális átvizsgálással. Ez egy ötletből órák alatt működő alkalmazást varázsolhat. A kompromisszum az, hogy a biztonsági beállításokat könnyű figyelmen kívül hagyni, amikor az alkalmazás működőképesnek tűnik.

Egy alkalmazás tökéletesen nézhet ki és viselkedhet, miközben a backendje nyitva áll bárki előtt, aki tudja, hol keresse. A képernyőn semmi nem jelzi a felhasználónak – és gyakran az építőnek sem –, hogy valami nincs rendben. Ezért a csiszolt felület rossz mutatója annak, hogy mennyire gondosan védik az adatokat.

Ez beleillik az AI-eszközök által megváltoztatott kockázati kép szélesebb mintázatába is. Az Aurora zsarolóprogram-banda AI kódoló ügynököt vet be a támadásokban című cikkünk és a Qilin AI-eszközöket használ, miközben nőnek a japán zsarolóprogram-támadások című írásunk bemutatja, hogy az AI a támadói oldalon is felgyorsítja a munkát.

Milyen adatok szivárogtak ki és kit érint a kockázat

A jelentés szerint a kiszivárgott rekordok száma meghaladja a 80 000-et, és útlevélszámokat is tartalmaznak. Az útlevéladatok az egyik legérzékenyebb személyazonosító adat, amelyet az ember megoszthat, mert nehezen pótolhatók, és névvel, e-mail-címmel vagy születési dátummal kombinálva identitáscsalást támogathatnak.

A forrás nem részletezi, milyen egyéb mezők szivárogtak ki, vagy mely országokban élnek az érintett felhasználók. Bárki, aki egy újabb alkalmazásra regisztrált és személyazonosító dokumentumokat vagy személyes adatokat töltött fel, potenciálisan abba a csoportba tartozik, amelyre érdemes figyelmet fordítani, különösen ha az alkalmazás egy kicsi vagy ismeretlen fejlesztőtől származik.

Mit jelent ez Önnek

Általában nem láthatja, hogyan védi egy alkalmazás az adatbázisát, így a gyakorlati védekezés az, hogy szabályozza, mit ad át.

  • Kérdőjelezze meg a szükségletet. Ha egy alkalmazás útlevélszámot vagy személyazonosító okmány szkennelését kéri, kérdezze meg, hogy a szolgáltatás valóban igényli-e.
  • Ellenőrizze a fejlesztőt. Keressen megnevezett céget, adatvédelmi irányelveket és egy elérhetőséget az ügyfélszolgálathoz. Legyen óvatos a vadonatúj alkalmazásokkal, amelyeknél ezek egyike sem található meg.
  • Használjon egyedi hitelesítő adatokat. Egy külön jelszó és egy e-mail-alias minden új szolgáltatáshoz korlátozza a kárt, ha egy rekordhalmaz kiszivárog.
  • Hagyja ki az opcionális mezőket. Ne adja meg a telefonszámokat, címeket és dokumentumfeltöltéseket, hacsak nem kötelezőek.
  • Figyeljen a következményes csalásokra. A kiszivárgott rekordokat gyakran újrahasznosítják adathalászathoz és csaláshoz, ahogy az a Paidwork felhasználói rekordok HIBP-hez való hozzáadásakor látható volt.

Hogyan ellenőrizze az alkalmazásokat és korlátozza, mit oszt meg

Mielőtt fiókot hozna létre egy új alkalmazásnál, szánjon egy percet az áttekintésére. Részesítse előnyben azokat a szolgáltatásokat, amelyek elmagyarázzák, hogyan tárolják az adatokat, és amelyeknek kialakult múltbeli eredményeik vannak. Ha egy alkalmazás személyazonosító dokumentumokat kér, fontolja meg, hogy létezik-e egy megalapozottabb alternatíva.

Ha Ön maga épít alkalmazásokat, az általános tanács az, hogy az indulás előtt vizsgálja át az adatbázis-hozzáférési szabályokat a generált kódban való megbízás helyett, és tesztelje alkalmazását hitelesítetlen látogatóként, hogy lássa, milyen adatok érhetők el.

Tanulságok

A jelentett AI-val épített alkalmazások adatszivárgása a Supabase esetében azt mutatja, hogy egy működő alkalmazás nem feltétlenül biztonságos. Kezdje azzal, hogy egy olyan szolgáltatással, mint a Have I Been Pwned, ellenőrzi, hogy e-mail-címe szerepel-e ismert adatszivárgásokban, és változtassa meg a jelszavát minden olyan fióknál, amelynél igen. Ezután minden új alkalmazásnak csak a minimálisan szükséges személyes adatokat adja meg. Ha látni szeretné, hogyan hasznosítják a kiszivárgott rekordokat, olvassa el a Paidwork adatszivárgás, amely 23 millió e-mailt és banki adatot szivárogtatott ki című cikkünket.