В отчёте, опубликованном на DEV Community, описывается «утечка за $0», в ходе которой 24 664 приложения, созданных с помощью ИИ, якобы допустили утечку более 80 000 пользовательских записей, включая номера паспортов, через базы данных Supabase. Этот случай утечки данных из приложений, созданных с помощью ИИ, через Supabase — полезное напоминание о том, что скорость разработки и безопасность пользовательских данных — не одно и то же.

Примечание об источниках: доступный нам исходный материал ограничивается заголовком отчёта и кратким резюме. В нём не указано, кто выявил уязвимость, как были найдены приложения и какие конкретные приложения пострадали. Эта статья придерживается того, что stated в отчёте, и чётко обозначает любой общий контекст как таковой.

Как неправильно настроенные базы данных раскрыли пользовательские записи

Согласно заголовку отчёта, утёкшие записи происходили из приложений, созданных с помощью инструментов ИИ, которые использовали Supabase в качестве бэкенда. Заголовок также характеризует инцидент как не стоивший ничего для осуществления, что предполагает отсутствие сложного взлома. Источник не раскрывает механику.

В качестве общего контекста (не из отчёта): Supabase — это облачный сервис баз данных, и доступ к его данным обычно контролируется правилами, заданными тем, кто создаёт приложение, например, безопасностью на уровне строк (row level security). Если эти правила отсутствуют или слишком разрешительны, данные могут быть доступны для чтения людям, которым не следует их видеть. Это проблема конфигурации, а не уязвимость, требующая взлома.

Почему вайб-кодинг создаёт этот пробел в безопасности

«Вайб-кодинг» означает создание программного обеспечения путём описания того, что вы хотите, инструменту ИИ и принятия сгенерированного кода с минимальной ручной проверкой. Это может превратить идею в работающее приложение за считанные часы. Обратная сторона — настройки безопасности легко упустить, когда приложение выглядит работающим.

Приложение может выглядеть и вести себя безупречно, пока его бэкенд открыт для любого, кто знает, где искать. Ничто на экране не сообщает пользователю, а часто и разработчику, что что-то не так. Вот почему отполированный интерфейс — плохой индикатор того, насколько тщательно защищены данные.

Это также вписывается в более широкую картину того, как инструменты ИИ меняют ландшафт рисков. Наши материалы о том, как банда вымогателей Aurora развёртывает агента ИИ для кодирования в атаках и как Qilin использует инструменты ИИ на фоне роста атак вымогателей в Японии, показывают, что ИИ ускоряет работу и на стороне атакующих.

Какие данные были раскрыты и кто в зоне риска

В отчёте говорится, что число раскрытых записей превышает 80 000 и включает номера паспортов. Паспортные данные относятся к наиболее чувствительным идентификаторам, которыми может поделиться человек, поскольку их трудно заменить, и в сочетании с именем, адресом электронной почты или датой рождения они могут способствовать мошенничеству с идентичностью.

Источник не уточняет, какие ещё поля были раскрыты и в каких странах находятся затронутые пользователи. Любой, кто зарегистрировался в новом приложении и загрузил документы, удостоверяющие личность, или личные данные, потенциально входит в группу, на которую стоит обратить внимание, особенно если приложение создано небольшим или неизвестным разработчиком.

Что это значит для вас

Обычно вы не можете увидеть, как приложение защищает свою базу данных, поэтому практическая защита — контролировать то, что вы передаёте.

  • Сомневайтесь в необходимости. Если приложение запрашивает номер паспорта или скан удостоверения личности, спросите, действительно ли сервис этого требует.
  • Проверьте разработчика. Ищите название компании, политику конфиденциальности и способ связаться со службой поддержки. Будьте осторожны с совершенно новыми приложениями, у которых ничего этого нет.
  • Используйте уникальные учётные данные. Отдельный пароль и псевдоним электронной почты для каждого нового сервиса ограничивают ущерб, если один набор записей будет раскрыт.
  • Пропускайте необязательные поля. Не указывайте номера телефонов, адреса и не загружайте документы, если они не обязательны.
  • Следите за последующими мошенничествами. Раскрытые записи часто используются повторно для фишинга и мошенничества, как это было, когда записи пользователей Paidwork были добавлены в HIBP.

Как проверять приложения и ограничивать то, чем вы делитесь

Прежде чем создавать учётную запись в новом приложении, потратьте минуту на его изучение. Предпочитайте сервисы, которые объясняют, как они хранят данные, и имеют проверенный послужной список. Если приложение требует документы, удостоверяющие личность, подумайте, существует ли более надёжная альтернатива.

Если вы сами создаёте приложения, общий совет — проверять правила доступа к базе данных перед запуском, а не доверять сгенерированному коду, и тестировать приложение как неаутентифицированный посетитель, чтобы увидеть, какие данные доступны.

Ключевые выводы

Описанный инцидент утечки данных из приложений, созданных с помощью ИИ, через Supabase показывает, что работающее приложение не обязательно является безопасным. Начните с проверки того, появляется ли ваш адрес электронной почты в известных утечках, используя такой сервис, как Have I Been Pwned, и смените пароли для любой учётной записи, которая там обнаружена. Затем предоставляйте каждому новому приложению только минимальный объём личных данных, который ему необходим. Чтобы увидеть, как используются раскрытые записи, прочитайте наш материал об утечке Paidwork, в результате которой были раскрыты 23 млн адресов электронной почты и банковские данные.