Un rapporto pubblicato su DEV Community descrive una "violazione della sicurezza da 0 $" in cui 24.664 app create dall'IA avrebbero fatto trapelare più di 80.000 record utente, inclusi numeri di passaporto, attraverso database Supabase. Questo caso di fuga di dati da app create dall'IA con Supabase è un utile promemoria del fatto che la velocità di sviluppo e la sicurezza dei dati degli utenti non sono la stessa cosa.

Una nota sulle fonti: il materiale di partenza a nostra disposizione è limitato al titolo del rapporto e a un breve riassunto. Non ci dice chi abbia identificato l'esposizione, come siano state trovate le app o quali app specifiche siano state colpite. Questo articolo si attiene a quanto afferma il rapporto ed etichetta chiaramente come tale qualsiasi contesto generale.

Come i database mal configurati hanno esposto i record degli utenti

Secondo il titolo del rapporto, i record esposti provengono da app create con strumenti di IA che utilizzavano Supabase come backend. Il titolo inquadra inoltre l'incidente come privo di costi per essere portato a termine, il che suggerisce che non sia stato coinvolto alcun hacking sofisticato. La fonte non dettaglia i meccanismi.

Come contesto generale (non tratto dal rapporto): Supabase è un servizio di database ospitato, e l'accesso ai suoi dati è tipicamente controllato da regole stabilite da chi costruisce l'app, come la sicurezza a livello di riga. Se tali regole mancano o sono troppo permissive, i dati possono essere leggibili da persone che non dovrebbero vederli. Si tratta di un problema di configurazione, non di una falla che richiede un'intrusione.

Perché il vibe coding crea questa lacuna di sicurezza

Il "vibe coding" si riferisce alla pratica di costruire software descrivendo ciò che si vuole a uno strumento di IA e accettando il codice generato con scarsa revisione manuale. Può trasformare un'idea in un'app funzionante in poche ore. Il compromesso è che le impostazioni di sicurezza sono facili da trascurare quando l'app sembra funzionare.

Un'app può apparire e comportarsi perfettamente mentre il suo backend è aperto a chiunque sappia dove guardare. Nulla sullo schermo dice a un utente, o spesso a chi l'ha costruita, che qualcosa non va. Ecco perché un'interfaccia curata è un cattivo indicatore di quanto attentamente i dati siano protetti.

Questo si inserisce anche in un quadro più ampio di strumenti di IA che cambiano il panorama del rischio. La nostra copertura di come il gruppo ransomware Aurora impiega un agente di coding IA negli attacchi e di come Qilin utilizza strumenti di IA mentre aumentano gli attacchi ransomware in Giappone mostra l'IA che accelera il lavoro anche dalla parte degli attaccanti.

Quali dati sono stati esposti e chi è a rischio

Il rapporto afferma che i record esposti sono più di 80.000 e includono numeri di passaporto. I dati del passaporto sono tra gli identificatori più sensibili che una persona possa condividere, perché sono difficili da sostituire e possono favorire frodi di identità se combinati con un nome, un indirizzo email o una data di nascita.

La fonte non specifica quali altri campi siano stati esposti né in quali paesi si trovino gli utenti colpiti. Chiunque si sia registrato a un'app più recente e abbia caricato documenti d'identità o dati personali fa potenzialmente parte del gruppo a cui vale la pena prestare attenzione, soprattutto se l'app proviene da uno sviluppatore piccolo o sconosciuto.

Cosa significa per te

Di solito non puoi vedere come un'app protegge il suo database, quindi la difesa pratica è controllare ciò che consegni.

  • Metti in dubbio la necessità. Se un'app chiede un numero di passaporto o la scansione di un documento d'identità, chiediti se il servizio lo richieda davvero.
  • Controlla lo sviluppatore. Cerca un'azienda con un nome, un'informativa sulla privacy e un modo per contattare l'assistenza. Sii cauto con app nuovissime che non hanno nulla di tutto ciò.
  • Usa credenziali uniche. Una password separata e un alias email per ogni nuovo servizio limitano i danni se un insieme di record viene esposto.
  • Salta i campi opzionali. Ometti numeri di telefono, indirizzi e caricamenti di documenti a meno che non siano obbligatori.
  • Fai attenzione alle truffe successive. I record esposti vengono spesso riutilizzati per phishing e frodi, come si è visto quando i record utente di Paidwork sono stati aggiunti a HIBP.

Come valutare le app e limitare ciò che condividi

Prima di creare un account con una nuova app, prenditi un minuto per esaminarla. Preferisci servizi che spiegano come archiviano i dati e che hanno un track record consolidato. Se un'app richiede documenti d'identità, valuta se esista un'alternativa più affermata.

Se costruisci app tu stesso, il consiglio generale è di rivedere le regole di accesso al database prima del lancio invece di fidarti del codice generato, e di testare la tua app come visitatore non autenticato per vedere quali dati sono raggiungibili.

Punti chiave

L'incidente segnalato di fuga di dati da app create dall'IA con Supabase dimostra che un'app funzionante non è necessariamente sicura. Inizia verificando se la tua email compare in violazioni note utilizzando un servizio come Have I Been Pwned, e cambia le password per qualsiasi account in cui compaia. Poi fornisci a ogni nuova app solo il minimo dei dati personali di cui ha bisogno. Per vedere come vengono utilizzati i record esposti, leggi la nostra copertura della violazione di Paidwork che ha fatto trapelare 23 milioni di email e dati bancari.