Berapa banyak aplikasi dan catatan pengguna yang terlibat dalam kebocoran Supabase?

Laporan tersebut menjelaskan tentang 24.664 aplikasi buatan AI yang diduga membocorkan lebih dari 80.000 catatan pengguna, termasuk nomor paspor, melalui basis data Supabase.

Apakah peretas memerlukan teknik canggih untuk melakukan pelanggaran ini?

Judul tersebut membingkai insiden itu sebagai "pelanggaran keamanan senilai $0," yang menunjukkan tidak ada peretasan canggih yang terlibat, meskipun sumber tidak merinci mekanismenya.

Apakah laporan menyebutkan aplikasi spesifik atau negara mana yang terdampak?

Tidak, sumber tidak merinci aplikasi mana yang terdampak atau di negara mana pengguna yang terdampak berada, juga tidak merinci bidang lain apa yang terekspos.

24.664 Aplikasi Buatan AI Membocorkan 80.000+ Catatan via Supabase

Q: Apa itu vibe coding dan mengapa hal itu menciptakan celah keamanan?

Vibe coding berarti membangun perangkat lunak dengan mendeskripsikan apa yang Anda inginkan kepada alat AI dan menerima kode yang dihasilkan dengan sedikit tinjauan manual, yang membuat pengaturan keamanan mudah terlewat ketika aplikasi tampak berfungsi.

Sebuah laporan yang diterbitkan di DEV Community menjelaskan tentang "pelanggaran keamanan senilai $0" di mana 24.664 aplikasi buatan AI diduga membocorkan lebih dari 80.000 catatan pengguna, termasuk nomor paspor, melalui basis data Supabase. Kasus kebocoran data aplikasi buatan AI Supabase ini menjadi pengingat berguna bahwa kecepatan pengembangan dan keamanan data pengguna bukanlah hal yang sama.

Catatan tentang sumber: materi sumber yang tersedia bagi kami terbatas pada judul laporan dan ringkasan singkat. Sumber tersebut tidak memberi tahu kami siapa yang mengidentifikasi paparan tersebut, bagaimana aplikasi-aplikasi itu ditemukan, atau aplikasi spesifik mana yang terdampak. Artikel ini berpegang pada apa yang dinyatakan laporan dan dengan jelas menandai latar belakang umum sebagai demikian.

Bagaimana basis data yang salah konfigurasi mengekspos catatan pengguna

Menurut judul laporan, catatan yang terekspos berasal dari aplikasi yang dibangun dengan alat AI yang menggunakan Supabase sebagai backend mereka. Judul tersebut juga membingkai insiden itu sebagai tidak memakan biaya apa pun untuk dilakukan, yang menunjukkan tidak ada peretasan canggih yang terlibat. Sumber tidak merinci mekanismenya.

Sebagai latar belakang umum (bukan diambil dari laporan): Supabase adalah layanan basis data terkelola, dan akses ke datanya biasanya dikendalikan oleh aturan yang ditetapkan oleh siapa pun yang membangun aplikasi, seperti row level security. Jika aturan tersebut tidak ada atau terlalu permisif, data dapat dibaca oleh orang-orang yang seharusnya tidak melihatnya. Itu adalah masalah konfigurasi, bukan cacat yang memerlukan pembobolan.

Mengapa vibe coding menciptakan celah keamanan ini

"Vibe coding" mengacu pada pembangunan perangkat lunak dengan mendeskripsikan apa yang Anda inginkan kepada alat AI dan menerima kode yang dihasilkan dengan sedikit tinjauan manual. Ini dapat mengubah ide menjadi aplikasi yang berfungsi dalam hitungan jam. Trade-off-nya adalah pengaturan keamanan mudah terlewat ketika aplikasi tampak berfungsi.

Sebuah aplikasi dapat terlihat dan berperilaku sempurna sementara backend-nya terbuka bagi siapa pun yang tahu di mana harus mencari. Tidak ada apa pun di layar yang memberi tahu pengguna, atau sering kali pembuatnya, bahwa ada sesuatu yang salah. Inilah sebabnya antarmuka yang rapi adalah indikator yang buruk tentang seberapa hati-hati data dilindungi.

Ini juga sesuai dengan pola yang lebih luas tentang alat AI yang mengubah gambaran risiko. Liputan kami tentang bagaimana geng ransomware Aurora mengerahkan agen coding AI dalam serangan dan bagaimana Qilin menggunakan alat AI saat serangan ransomware Jepang meningkat menunjukkan AI mempercepat pekerjaan di sisi penyerang juga.

Data apa yang terekspos dan siapa yang berisiko

Laporan menyebutkan bahwa catatan yang terekspos berjumlah lebih dari 80.000 dan mencakup nomor paspor. Detail paspor termasuk di antara pengenal paling sensitif yang dapat dibagikan seseorang, karena sulit diganti dan dapat mendukung penipuan identitas bila dikombinasikan dengan nama, alamat email, atau tanggal lahir.

Sumber tidak merinci bidang lain apa yang terekspos atau di negara mana pengguna yang terdampak berada. Siapa pun yang mendaftar ke aplikasi yang lebih baru dan mengunggah dokumen identitas atau detail pribadi berpotensi berada dalam kelompok yang perlu diperhatikan, terutama jika aplikasi tersebut berasal dari pengembang kecil atau tidak dikenal.

Apa Artinya Bagi Anda

Anda biasanya tidak dapat melihat bagaimana sebuah aplikasi melindungi basis datanya, jadi pertahanan praktisnya adalah mengendalikan apa yang Anda serahkan.

Pertanyakan kebutuhannya. Jika sebuah aplikasi meminta nomor paspor atau pindaian ID, tanyakan apakah layanan tersebut benar-benar memerlukannya.
Periksa pengembangnya. Cari perusahaan yang disebutkan namanya, kebijakan privasi, dan cara menghubungi dukungan. Berhati-hatilah dengan aplikasi yang benar-benar baru yang tidak memiliki semua itu.
Gunakan kredensial unik. Kata sandi terpisah dan alias email untuk setiap layanan baru membatasi kerusakan jika satu kumpulan catatan terekspos.
Lewati bidang opsional. Jangan sertakan nomor telepon, alamat, dan unggahan dokumen kecuali diwajibkan.
Waspadai penipuan lanjutan. Catatan yang terekspos sering digunakan kembali untuk phishing dan penipuan, seperti yang terlihat ketika catatan pengguna Paidwork ditambahkan ke HIBP.

Cara memeriksa aplikasi dan membatasi apa yang Anda bagikan

Sebelum membuat akun dengan aplikasi baru, luangkan waktu sebentar untuk meninjaunya. Utamakan layanan yang menjelaskan bagaimana mereka menyimpan data dan yang memiliki rekam jejak yang mapan. Jika sebuah aplikasi menginginkan dokumen identitas, pertimbangkan apakah ada alternatif yang lebih mapan.

Jika Anda membangun aplikasi sendiri, saran umumnya adalah meninjau aturan akses basis data sebelum peluncuran daripada mempercayai kode yang dihasilkan, dan menguji aplikasi Anda sebagai pengunjung yang tidak terautentikasi untuk melihat data apa yang dapat diakses.

Kesimpulan

Insiden kebocoran data aplikasi buatan AI Supabase yang dilaporkan menunjukkan bahwa aplikasi yang berfungsi belum tentu aman. Mulailah dengan memeriksa apakah email Anda muncul dalam pelanggaran yang diketahui menggunakan layanan seperti Have I Been Pwned, dan ubah kata sandi untuk akun apa pun yang muncul. Kemudian berikan setiap aplikasi baru hanya data pribadi minimum yang dibutuhkannya. Untuk melihat bagaimana catatan yang terekspos digunakan, baca liputan kami tentang pelanggaran Paidwork yang membocorkan 23 juta email dan data perbankan.