Um relatório publicado na DEV Community descreve uma "violação de segurança de US$ 0" na qual 24.664 aplicativos criados por IA supostamente vazaram mais de 80.000 registros de usuários, incluindo números de passaporte, por meio de bancos de dados Supabase. Este caso de vazamento de dados de aplicativos criados por IA no Supabase é um lembrete útil de que a velocidade de desenvolvimento e a segurança dos dados dos usuários não são a mesma coisa.

Uma nota sobre o fornecimento de fontes: o material de origem disponível para nós se limita à manchete do relatório e a um breve resumo. Ele não nos diz quem identificou a exposição, como os aplicativos foram encontrados ou quais aplicativos específicos foram afetados. Este artigo se atém ao que o relatório declara e rotula claramente qualquer contexto geral como tal.

Como bancos de dados mal configurados expuseram registros de usuários

De acordo com o título do relatório, os registros expostos vieram de aplicativos criados com ferramentas de IA que usavam o Supabase como backend. A manchete também enquadra o incidente como algo sem custo para ser executado, o que sugere que nenhum hacking sofisticado estava envolvido. A fonte não detalha a mecânica.

Como contexto geral (não extraído do relatório): o Supabase é um serviço de banco de dados hospedado, e o acesso aos seus dados é tipicamente controlado por regras definidas por quem constrói o aplicativo, como a segurança em nível de linha. Se essas regras estiverem ausentes ou forem permissivas demais, os dados podem ser legíveis por pessoas que não deveriam vê-los. Isso é um problema de configuração, e não uma falha que exija invasão.

Por que o vibe coding cria essa lacuna de segurança

"Vibe coding" refere-se a construir software descrevendo o que você quer para uma ferramenta de IA e aceitando o código gerado com pouca revisão manual. Isso pode transformar uma ideia em um aplicativo funcional em horas. A contrapartida é que as configurações de segurança são fáceis de passar despercebidas quando o aplicativo parece funcionar.

Um aplicativo pode parecer e se comportar perfeitamente enquanto seu backend está aberto para qualquer pessoa que saiba onde procurar. Nada na tela informa a um usuário, ou muitas vezes ao próprio criador, que algo está errado. É por isso que uma interface polida é um indicador ruim de quão cuidadosamente os dados são protegidos.

Isso também se encaixa em um padrão mais amplo de ferramentas de IA mudando o panorama de riscos. Nossa cobertura sobre como o grupo de ransomware Aurora implanta um agente de codificação de IA em ataques e como o Qilin usa ferramentas de IA à medida que os ataques de ransomware no Japão aumentam mostra a IA acelerando o trabalho também do lado dos atacantes.

Quais dados foram expostos e quem está em risco

O relatório afirma que os registros expostos somam mais de 80.000 e incluem números de passaporte. Detalhes de passaporte estão entre os identificadores mais sensíveis que uma pessoa pode compartilhar, porque são difíceis de substituir e podem subsidiar fraude de identidade quando combinados com um nome, endereço de e-mail ou data de nascimento.

A fonte não especifica quais outros campos foram expostos ou em quais países estão os usuários afetados. Qualquer pessoa que tenha se inscrito em um aplicativo mais recente e enviado documentos de identidade ou dados pessoais está potencialmente no grupo que vale a pena observar, especialmente se o aplicativo veio de um desenvolvedor pequeno ou desconhecido.

O que isso significa para você

Você normalmente não consegue ver como um aplicativo protege seu banco de dados, então a defesa prática é controlar o que você entrega.

  • Questione a necessidade. Se um aplicativo pede um número de passaporte ou uma digitalização de documento de identidade, pergunte se o serviço realmente precisa disso.
  • Verifique o desenvolvedor. Procure uma empresa nomeada, uma política de privacidade e uma forma de contatar o suporte. Tenha cautela com aplicativos recém-lançados que não têm nada disso.
  • Use credenciais exclusivas. Uma senha separada e um alias de e-mail para cada novo serviço limitam os danos se um conjunto de registros for exposto.
  • Pule campos opcionais. Deixe de fora números de telefone, endereços e uploads de documentos, a menos que sejam obrigatórios.
  • Fique atento a golpes derivados. Registros expostos são frequentemente reutilizados para phishing e fraude, como visto quando registros de usuários do Paidwork foram adicionados ao HIBP.

Como avaliar aplicativos e limitar o que você compartilha

Antes de criar uma conta em um novo aplicativo, reserve um minuto para analisá-lo. Prefira serviços que expliquem como armazenam dados e que tenham um histórico estabelecido. Se um aplicativo pede documentos de identidade, considere se existe uma alternativa mais consolidada.

Se você mesmo constrói aplicativos, o conselho geral é revisar as regras de acesso ao banco de dados antes do lançamento em vez de confiar no código gerado, e testar seu aplicativo como um visitante não autenticado para ver quais dados são acessíveis.

Conclusões

O incidente relatado de vazamento de dados de aplicativos criados por IA no Supabase mostra que um aplicativo funcional não é necessariamente seguro. Comece verificando se seu e-mail aparece em violações conhecidas usando um serviço como o Have I Been Pwned, e altere as senhas de qualquer conta que apareça. Depois, forneça a cada novo aplicativo apenas o mínimo de dados pessoais de que ele precisa. Para ver como registros expostos são utilizados, leia nossa cobertura sobre a violação do Paidwork que vazou 23 milhões de e-mails e dados bancários.