personvern
Tusenvis av Lovable-apper lekker persondata
Passnumre, private meldinger og betalingsdata ligger åpent i apper bygget med Lovable, viser en ny undersøkelse. Det svenske AI-selskapet mener ansvaret ligger hos kundene.
Publisert
Lovable-apper har en utfordring med datasikkerhet.
Sikkerhetsselskapet Crissy Field i Hamburg fant mer enn 7.000 nettsteder bygget med Lovable som delte personopplysninger med alle som åpnet siden.
Det krevdes verken innlogging eller passord.
Undersøkelsen er gjort i samarbeid med den tyske næringslivsavisen Handelsblatt, som omtalte funnene mandag.
Crissy Field har siden publisert en egen rapport med oppdaterte tall.
Forskerne gikk gjennom 159.041 Lovable-prosjekter publisert mellom desember 2025 og september 2026, hentet fra det åpne nettarkivet Common Crawl.
34.545 av dem brukte databasetjenesten Supabase. Av disse hentet 24.664 data fra databasen når siden ble lastet, uten innlogging. 7.403 nettsteder eksponerte oppføringer med e-postadresser, fordelt på 10.560 tabeller.
Pass, chatter og billetter
Hos én tjenesteleverandør lå mer enn 1.000 oppføringer med passnummer, utløpsdato og nasjonalitet åpent. Et tysk forum eksponerte over 80.000 brukerprofiler med navn, e-post og fødselsdato, og mer enn 200.000 private chattemeldinger. Arrangører og restauranter hadde liggende tusenvis av bestillinger med hjemmeadresser, betalingsopplysninger og gyldige billettkoder. Undersøkelsen har ikke funnet bevis for at dataene er misbrukt.
Årsaken er en kjent konfigurasjonsfeil. Supabase har en funksjon som skal sørge for at brukere bare ser sine egne rader. Den må slås på og settes opp riktig. Når Lovables AI-agent lager databasetabellene, står den ofte av. Appen fungerer likevel feilfritt i forhåndsvisningen.
Forskerne advarer mot å lese tallene som en lekkasjerate for alle Lovable-apper. Utvalget er ikke representativt, og e-postadresser er bare en grov indikator på personopplysninger.
«Delt ansvar»
Lovables vilkår legger ansvaret for sikkerhet og datahåndtering på kundene. Sikkerhetssjef Igor Andriushchenko sier til Handelsblatt at dette er et kjent konfigurasjonsproblem i hele bransjen.
– Sikkerhet er et delt ansvar, sier han.
Ifølge Handelsblatt hadde Lovable varslet operatørene i tre av sakene avisen la fram, uten at de gjorde noe. Selskapet lover en bedre sikkerhetsløsning for ikke-tekniske brukere i løpet av november.
Det er ikke første gang Lovable får kritikk for sikkerheten. Et sikkerhetshull i databasene til apper bygget med Lovable ble registrert som en kjent sårbarhet allerede i 2025. Lovable bestrider at klassifiseringen er riktig. I april i år la selskapet seg flat etter at prosjekter hadde ligget eksponert, og lovet å skjerpe både sikkerheten og kommunikasjonen. Selskapet ble verdsatt til 13,3 milliarder dollar da det hentet 400 millioner dollar i august.
Ansvaret for dataene ligger likevel hos dem som eier appene. Det gjelder også norske virksomheter. Etter personvernforordningen må de selv vurdere om de har hatt et avvik som skal meldes til Datatilsynet.
