Een rapport gepubliceerd op DEV Community beschrijft een "beveiligingslek van $0" waarbij 24.664 door AI gebouwde apps naar verluidt meer dan 80.000 gebruikersrecords hebben gelekt, waaronder paspoortnummers, via Supabase-databases. Deze AI-built apps data leak Supabase-zaak is een nuttige herinnering dat snelheid van ontwikkeling en veiligheid van gebruikersgegevens niet hetzelfde zijn.

Een opmerking over de bron: het bronmateriaal dat ons ter beschikking staat is beperkt tot de kop van het rapport en een korte samenvatting. Het vertelt ons niet wie de blootstelling heeft vastgesteld, hoe de apps zijn gevonden of welke specifieke apps getroffen waren. Dit artikel houdt zich aan wat het rapport stelt en labelt algemene achtergrondinformatie duidelijk als zodanig.

Hoe verkeerd geconfigureerde databases gebruikersrecords blootlegden

Volgens de titel van het rapport waren de blootgelegde records afkomstig van apps die met AI-tools waren gebouwd en Supabase als backend gebruikten. De kop kadert het incident ook als kosteloos uit te voeren, wat suggereert dat er geen geavanceerde hacking bij betrokken was. De bron gaat niet in detail op de mechanismen.

Als algemene achtergrond (niet afkomstig uit het rapport): Supabase is een gehoste databaseservice en de toegang tot de gegevens wordt doorgaans beheerd door regels die degene die de app bouwt instelt, zoals row level security. Als die regels ontbreken of te ruim zijn, kunnen gegevens leesbaar zijn voor mensen die ze niet zouden mogen zien. Dat is een configuratieprobleem in plaats van een fout die inbraak vereist.

Waarom vibe coding deze beveiligingskloof creëert

"Vibe coding" verwijst naar het bouwen van software door aan een AI-tool te beschrijven wat je wilt en de gegenereerde code met weinig handmatige controle te accepteren. Het kan een idee in enkele uren omzetten in een werkende app. De keerzijde is dat beveiligingsinstellingen gemakkelijk over het hoofd worden gezien wanneer de app blijkt te werken.

Een app kan er perfect uitzien en functioneren terwijl de backend openstaat voor iedereen die weet waar te kijken. Niets op het scherm vertelt een gebruiker, of vaak de bouwer, dat er iets mis is. Daarom is een gepolijste interface een slechte indicator voor hoe zorgvuldig gegevens worden beschermd.

Dit past ook bij een breder patroon van AI-tools die het risicobeeld veranderen. Onze berichtgeving over hoe de Aurora ransomware-bende een AI-coding agent inzet bij aanvallen en hoe Qilin AI-tools gebruikt nu ransomware-aanvallen in Japan toenemen toont aan dat AI ook aan de kant van de aanvaller werk versnelt.

Welke gegevens werden blootgelegd en wie loopt risico

Het rapport stelt dat het aantal blootgelegde records meer dan 80.000 bedraagt en dat ze paspoortnummers bevatten. Paspoortgegevens behoren tot de meest gevoelige identificatoren die iemand kan delen, omdat ze moeilijk te vervangen zijn en identiteitsfraude kunnen ondersteunen in combinatie met een naam, e-mailadres of geboortedatum.

De bron vermeldt niet welke andere velden werden blootgelegd of in welke landen de getroffen gebruikers zich bevinden. Iedereen die zich heeft aangemeld bij een nieuwere app en identiteitsdocumenten of persoonlijke gegevens heeft geüpload, behoort mogelijk tot de groep die aandacht verdient, vooral als de app van een kleine of onbekende ontwikkelaar afkomstig is.

Wat dit voor jou betekent

Je kunt meestal niet zien hoe een app zijn database beschermt, dus de praktische verdediging is om te controleren wat je overdraagt.

  • Bevraag de noodzaak. Als een app om een paspoortnummer of ID-scan vraagt, vraag dan of de dienst dit echt vereist.
  • Controleer de ontwikkelaar. Zoek naar een genoemd bedrijf, een privacybeleid en een manier om support te contacteren. Wees voorzichtig met gloednieuwe apps die geen van deze hebben.
  • Gebruik unieke inloggegevens. Een apart wachtwoord en een e-mailalias voor elke nieuwe dienst beperken de schade als één recordset wordt blootgelegd.
  • Sla optionele velden over. Laat telefoonnummers, adressen en documentuploads achterwege tenzij ze vereist zijn.
  • Let op vervolgscams. Blootgelegde records worden vaak hergebruikt voor phishing en fraude, zoals te zien was toen Paidwork-gebruikersrecords aan HIBP werden toegevoegd.

Hoe je apps beoordeelt en beperkt wat je deelt

Neem een minuut de tijd om een nieuwe app te beoordelen voordat je een account aanmaakt. Geef de voorkeur aan diensten die uitleggen hoe ze gegevens opslaan en die een bewezen staat van dienst hebben. Als een app identiteitsdocumenten wil, overweeg dan of er een meer gevestigd alternatief bestaat.

Als je zelf apps bouwt, is het algemene advies om de toegangsregels van de database te controleren vóór de lancering in plaats van gegenereerde code te vertrouwen, en om je app te testen als een niet-geauthenticeerde bezoeker om te zien welke gegevens bereikbaar zijn.

Belangrijkste punten

Het gerapporteerde AI-built apps data leak Supabase-incident toont aan dat een werkende app niet noodzakelijk een veilige app is. Begin met te controleren of je e-mailadres voorkomt in bekende datalekken via een dienst zoals Have I Been Pwned, en wijzig wachtwoorden voor elk account waar dat het geval is. Geef daarna elke nieuwe app alleen de minimale persoonlijke gegevens die deze nodig heeft. Om te zien hoe blootgelegde records worden gebruikt, lees onze berichtgeving over het Paidwork-datalek dat 23 miljoen e-mails en bankgegevens lekte.