รายงานที่เผยแพร่บน DEV Community อธิบายถึง "การละเมิดความปลอดภัยมูลค่า $0" ซึ่งแอปที่สร้างด้วย AI จำนวน 24,664 แอปถูกกล่าวหาว่าทำให้ข้อมูลผู้ใช้กว่า 80,000 รายการรั่วไหล รวมถึงหมายเลขหนังสือเดินทาง ผ่านฐานข้อมูล Supabase กรณีการรั่วไหลของข้อมูลในแอปที่สร้างด้วย AI และ Supabase นี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าความเร็วในการพัฒนาและความปลอดภัยของข้อมูลผู้ใช้ไม่ใช่สิ่งเดียวกัน

หมายเหตุเกี่ยวกับแหล่งที่มา: เนื้อหาต้นฉบับที่เรามีจำกัดอยู่เพียงพาดหัวของรายงานและบทสรุปสั้นๆ ไม่ได้ระบุว่าใครเป็นผู้ค้นพบการเปิดเผยข้อมูลนี้ แอปถูกค้นพบได้อย่างไร หรือแอปใดได้รับผลกระทบบ้าง บทความนี้ยึดตามสิ่งที่รายงานระบุและระบุข้อมูลพื้นฐานทั่วไปอย่างชัดเจน

ฐานข้อมูลที่กำหนดค่าผิดเปิดเผยข้อมูลผู้ใช้ได้อย่างไร

ตามชื่อเรื่องของรายงาน ข้อมูลที่รั่วไหลมาจากแอปที่สร้างด้วยเครื่องมือ AI ซึ่งใช้ Supabase เป็นแบ็กเอนด์ พาดหัวยังนำเสนอเหตุการณ์นี้ในแง่ที่ไม่ต้องเสียค่าใช้จ่ายใดๆ ในการดำเนินการ ซึ่งบ่งชี้ว่าไม่มีการแฮ็กที่ซับซ้อนเข้ามาเกี่ยวข้อง แหล่งข่าวไม่ได้ให้รายละเอียดเกี่ยวกับกลไกการโจมตี

ในฐานะข้อมูลพื้นฐานทั่วไป (ไม่ได้มาจากรายงาน): Supabase เป็นบริการฐานข้อมูลแบบโฮสต์ และการเข้าถึงข้อมูลมักถูกควบคุมด้วยกฎที่กำหนดโดยผู้สร้างแอป เช่น row level security หากกฎเหล่านั้นขาดหายหรืออนุโลมเกินไป ข้อมูลอาจถูกอ่านได้โดยผู้ที่ไม่ควรเห็น ซึ่งเป็นปัญหาการกำหนดค่า ไม่ใช่ช่องโหว่ที่ต้องเจาะระบบเข้ามา

ทำไม vibe coding ถึงสร้างช่องว่างด้านความปลอดภัยนี้

"Vibe coding" หมายถึงการสร้างซอฟต์แวร์โดยอธิบายสิ่งที่ต้องการให้เครื่องมือ AI แล้วยอมรับโค้ดที่สร้างขึ้นโดยมีการตรวจทานด้วยตนเองน้อยมาก วิธีนี้สามารถเปลี่ยนไอเดียให้เป็นแอปที่ใช้งานได้ภายในไม่กี่ชั่วโมง ข้อแลกเปลี่ยนคือการตั้งค่าความปลอดภัยเป็นเรื่องที่มองข้ามได้ง่ายเมื่อแอปดูเหมือนทำงานได้

แอปสามารถดูและทำงานได้อย่างสมบูรณ์แบบในขณะที่แบ็กเอนด์เปิดให้ใครก็ตามที่รู้ว่าจะดูตรงไหนเข้าถึงได้ ไม่มีอะไรบนหน้าจอที่บอกผู้ใช้ หรือบ่อยครั้งแม้แต่ผู้สร้าง ว่ามีบางอย่างผิดปกติ นี่คือเหตุผลที่อินเทอร์เฟซที่ดูดีเป็นตัวบ่งชี้ที่ไม่ดีว่าข้อมูลได้รับการปกป้องอย่างระมัดระวังเพียงใด

สิ่งนี้ยังสอดคล้องกับรูปแบบที่กว้างขึ้นของเครื่องมือ AI ที่กำลังเปลี่ยนแปลงภาพรวมความเสี่ยง บทความของเราเกี่ยวกับวิธีที่แก๊ง ransomware Aurora ใช้ AI coding agent ในการโจมตี และวิธีที่Qilin ใช้เครื่องมือ AI ขณะที่การโจมตี ransomware ในญี่ปุ่นเพิ่มขึ้น แสดงให้เห็นว่า AI เร่งการทำงานฝั่งผู้โจมตีเช่นกัน

ข้อมูลใดถูกรั่วไหลและใครตกอยู่ในความเสี่ยง

รายงานระบุว่าข้อมูลที่รั่วไหลมีจำนวนกว่า 80,000 รายการและรวมถึงหมายเลขหนังสือเดินทาง รายละเอียดหนังสือเดินทางเป็นหนึ่งในข้อมูลระบุตัวตนที่ละเอียดอ่อนที่สุดที่บุคคลสามารถเปิดเผยได้ เพราะเป็นสิ่งที่ทดแทนได้ยากและสามารถสนับสนุนการฉ้อโกงidentityเมื่อรวมกับชื่อ ที่อยู่อีเมล หรือวันเกิด

แหล่งข่าวไม่ได้ระบุว่ามีฟิลด์อื่นใดถูกรั่วไหลหรือผู้ใช้ที่ได้รับผลกระทบอยู่ในประเทศใด ใครก็ตามที่ลงทะเบียนในแอปใหม่และอัปโหลดเอกสารระบุตัวตนหรือข้อมูลส่วนบุคคลอาจอยู่ในกลุ่มที่ควรให้ความสนใจ โดยเฉพาะอย่างยิ่งหากแอปนั้นมาจากนักพัฒนารายเล็กหรือไม่เป็นที่รู้จัก

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

โดยปกติคุณไม่สามารถมองเห็นได้ว่าแอปปกป้องฐานข้อมูลอย่างไร ดังนั้นการป้องกันในทางปฏิบัติคือการควบคุมสิ่งที่คุณมอบให้

  • ตั้งคำถามถึงความจำเป็น หากแอปขอหมายเลขหนังสือเดินทางหรือสำเนาบัตรประชาชน ให้ถามว่าบริการนั้นต้องการจริงๆ หรือไม่
  • ตรวจสอบนักพัฒนา มองหาบริษัทที่มีชื่อ เว็บไซต์นโยบายความเป็นส่วนตัว และช่องทางติดต่อฝ่ายสนับสนุน ระวังแอปใหม่เอี่ยมที่ไม่มีสิ่งเหล่านี้เลย
  • ใช้ข้อมูลรับรองที่ไม่ซ้ำกัน รหัสผ่านแยกต่างหากและอีเมลแฝงสำหรับแต่ละบริการใหม่ช่วยจำกัดความเสียหายหากชุดข้อมูลหนึ่งถูกเปิดเผย
  • ข้ามฟิลด์ที่เป็นทางเลือก ละเว้นหมายเลขโทรศัพท์ ที่อยู่ และการอัปโหลดเอกสาร เว้นแต่จะจำเป็น
  • ระวังการหลอกลวงที่ตามมา ข้อมูลที่รั่วไหลมักถูกนำไปใช้ซ้ำสำหรับ phishing และการฉ้อโกง ดังที่เห็นเมื่อข้อมูลผู้ใช้ Paidwork ถูกเพิ่มใน HIBP

วิธีตรวจสอบแอปและจำกัดสิ่งที่คุณแบ่งปัน

ก่อนสร้างบัญชีกับแอปใหม่ ใช้เวลาสักครู่เพื่อตรวจสอบ เลือกใช้บริการที่อธิบายวิธีจัดเก็บข้อมูลและมีประวัติที่น่าเชื่อถือ หากแอปต้องการเอกสารระบุตัวตน ให้พิจารณาว่ามีทางเลือกที่establishedกว่าหรือไม่

หากคุณสร้างแอปเอง คำแนะนำทั่วไปคือการตรวจสอบกฎการเข้าถึงฐานข้อมูลก่อนเปิดตัวแทนที่จะไว้วางใจโค้ดที่สร้างขึ้น และทดสอบแอปของคุณในฐานะผู้เยี่ยมชมที่ไม่ผ่านการยืนยันตัวตนเพื่อดูว่าข้อมูลใดเข้าถึงได้

ประเด็นสำคัญ

เหตุการณ์การรั่วไหลของข้อมูลในแอปที่สร้างด้วย AI และ Supabase ตามที่รายงานแสดงให้เห็นว่าแอปที่ใช้งานได้ไม่จำเป็นต้องปลอดภัย เริ่มต้นด้วยการตรวจสอบว่าอีเมลของคุณปรากฏในการละเมิดข้อมูลที่รู้จักหรือไม่โดยใช้บริการเช่น Have I Been Pwned และเปลี่ยนรหัสผ่านสำหรับบัญชีใดก็ตามที่ปรากฏ จากนั้นให้ข้อมูลส่วนบุคคลขั้นต่ำที่จำเป็นแก่แอปใหม่ทุกแอปเท่านั้น หากต้องการดูว่าข้อมูลที่รั่วไหลถูกนำไปใช้อย่างไร อ่านบทความของเราเกี่ยวกับการละเมิดข้อมูล Paidwork ที่รั่วอีเมล 23 ล้านฉบับและข้อมูลธนาคาร