Звіт, опублікований на DEV Community, описує «порушення безпеки за $0», у якому 24 664 додатки, створені ШІ, нібито злили понад 80 000 записів користувачів, включно з номерами паспортів, через бази даних Supabase. Цей випадок витоку даних із додатків, створених ШІ, через Supabase є корисним нагадуванням про те, що швидкість розробки та безпека даних користувачів — не одне й те саме.

Примітка щодо джерел: доступний нам вихідний матеріал обмежується заголовком звіту та коротким резюме. У ньому не вказано, хто виявив цю незахищеність, як було знайдено додатки або які саме додатки постраждали. Ця стаття дотримується того, що зазначено у звіті, і чітко позначає будь-який загальний контекст як такий.

Як неправильно налаштовані бази даних розкрили записи користувачів

Згідно із заголовком звіту, розкриті записи походили з додатків, створених за допомогою інструментів ШІ, які використовували Supabase як свій бекенд. У заголовку також подано цей інцидент як такий, що нічого не коштував для здійснення, що свідчить про відсутність складного злому. Джерело не деталізує механіку.

Як загальний контекст (не зі звіту): Supabase — це хостинговий сервіс баз даних, і доступ до його даних зазвичай контролюється правилами, встановленими тим, хто створює додаток, наприклад, безпекою на рівні рядків. Якщо ці правила відсутні або надто дозвільні, дані можуть бути доступними для читання людям, які не повинні їх бачити. Це проблема конфігурації, а не вразливість, яка вимагає злому.

Чому вайб-кодинг створює цю прогалину в безпеці

«Вайб-кодинг» означає створення програмного забезпечення шляхом опису того, що ви хочете, інструменту ШІ та прийняття згенерованого коду з мінімальним ручним переглядом. Це може перетворити ідею на робочий додаток за години. Компроміс полягає в тому, що налаштування безпеки легко пропустити, коли додаток здається працездатним.

Додаток може виглядати й поводитися бездоганно, поки його бекенд відкритий для будь-кого, хто знає, де шукати. Ніщо на екрані не повідомляє користувачеві, а часто й розробнику, що щось не так. Ось чому відшліфований інтерфейс є поганим індикатором того, наскільки ретельно захищені дані.

Це також вписується в ширшу картину того, як інструменти ШІ змінюють ландшафт ризиків. Наші матеріали про те, як угруповання Aurora розгортає агента ШІ для кодингу в атаках, і про те, як Qilin використовує інструменти ШІ на тлі зростання ransomware-атак у Японії, показують, що ШІ прискорює роботу і на боці атакувальників.

Які дані було розкрито і хто в зоні ризику

У звіті сказано, що кількість розкритих записів перевищує 80 000 і вони включають номери паспортів. Паспортні дані належать до найчутливіших ідентифікаторів, які людина може надати, оскільки їх важко замінити, і в поєднанні з іменем, електронною адресою або датою народження вони можуть сприяти шахрайству з ідентичністю.

Джерело не уточнює, які ще поля було розкрито або в яких країнах перебувають постраждалі користувачі. Кожен, хто реєструвався в новішому додатку й завантажував документи, що посвідчують особу, або особисті дані, потенційно належить до групи, на яку варто звернути увагу, особливо якщо додаток походив від малого або невідомого розробника.

Що це означає для вас

Зазвичай ви не можете побачити, як додаток захищає свою базу даних, тому практичний захист — контролювати те, що ви передаєте.

  • Ставте під сумнів потребу. Якщо додаток запитує номер паспорта або скан документа, що посвідчує особу, запитайте, чи справді цього потребує сервіс.
  • Перевірте розробника. Шукайте назву компанії, політику конфіденційності та спосіб зв'язатися з підтримкою. Будьте обережні з цілком новими додатками, які не мають нічого з цього.
  • Використовуйте унікальні облікові дані. Окремий пароль і псевдонім електронної пошти для кожного нового сервісу обмежують збитки, якщо один набір записів буде розкрито.
  • Пропускайте необов'язкові поля. Не вказуйте номери телефонів, адреси та не завантажуйте документи, якщо вони не є обов'язковими.
  • Стежте за подальшими шахрайствами. Розкриті записи часто повторно використовуються для фішингу та шахрайства, як це було видно, коли записи користувачів Paidwork було додано до HIBP.

Як перевіряти додатки та обмежувати те, чим ви ділитеся

Перш ніж створювати обліковий запис у новому додатку, приділіть хвилину на його огляд. Надавайте перевагу сервісам, які пояснюють, як вони зберігають дані, і мають підтверджену історію. Якщо додаток вимагає документи, що посвідчують особу, подумайте, чи існує більш усталена альтернатива.

Якщо ви самі створюєте додатки, загальна порада — переглянути правила доступу до бази даних перед запуском, а не довіряти згенерованому коду, і протестувати свій додаток як неавтентифікований відвідувач, щоб побачити, які дані є доступними.

Ключові висновки

Описаний інцидент витоку даних із додатків, створених ШІ, через Supabase показує, що робочий додаток не обов'язково є безпечним. Почніть із перевірки, чи ваша електронна пошта фігурує у відомих витоках, скориставшись таким сервісом, як Have I Been Pwned, і змініть паролі для будь-якого облікового запису, що там є. Потім надавайте кожному новому додатку лише мінімум особистих даних, які йому потрібні. Щоб побачити, як використовують розкриті записи, прочитайте наш матеріал про витік Paidwork, який злив 23 млн електронних адрес і банківські дані.