Lovable AI से बने 7,403 ऐप्स में यूजर्स का निजी डेटा उजागर, पासपोर्ट और बैंकिंग जानकारी भी खतरे में

जर्मनी की साइबर सुरक्षा कंपनी क्रिसी फील्ड (Crissy Field) की एक रिसर्च में बड़ा खुलासा हुआ है। आर्टिफिशियल इंटेलिजेंस (AI) प्लेटफॉर्म Lovable AI की मदद से बनाए गए 7,403 एप्लिकेशन में यूजर्स का संवेदनशील डेटा सार्वजनिक रूप से उपलब्ध पाया गया। उजागर जानकारी में पासपोर्ट विवरण, भुगतान संबंधी जानकारी, निजी चैट, कॉन्ट्रैक्ट और आंतरिक बातचीत शामिल हैं।

शोधकर्ताओं ने Lovable AI से जुड़े कुल 1,59,041 प्रोजेक्ट्स का विश्लेषण किया। जांच में पाया गया कि कई एप्लिकेशन के बैकएंड डेटाबेस बिना किसी लॉगिन या प्रमाणीकरण के डेटा उपलब्ध करा रहे थे।

Lovable AI एक ऐसा प्लेटफॉर्म है, जिसकी मदद से यूजर्स सामान्य भाषा में निर्देश देकर वेब एप्लिकेशन तैयार कर सकते हैं। इनमें से कई एप्लिकेशन बैकएंड डेटाबेस सेवाओं के लिए Supabase का इस्तेमाल करते हैं।

शोध के अनुसार, यह समस्या Lovable AI के अपने सिस्टम में सेंधमारी के कारण नहीं हुई, बल्कि एप्लिकेशन बनाने वालों की ओर से डेटाबेस सुरक्षा नियमों को सही तरीके से लागू नहीं करने के कारण सामने आई।

बिना लॉगिन के हजारों डेटाबेस से मिल रहा था डेटा

Crissy Field ने Common Crawl वेब आर्काइव से जुटाए गए प्रोजेक्ट्स की जांच की। इसमें Supabase का इस्तेमाल करने वाले 34,545 Lovable एप्लिकेशन की पहचान हुई।

इनमें से 24,664 एप्लिकेशन के डेटाबेस बिना किसी प्रमाणीकरण के रिकॉर्ड उपलब्ध करा रहे थे। शोधकर्ताओं ने केवल डेटा पढ़ने वाले अनुरोधों के जरिए जांच की और पाया कि 7,403 वेबसाइटों की 10,560 टेबल में ईमेल एड्रेस तक पहुंच संभव थी।

शोधकर्ताओं के मुताबिक, इस जांच में न तो किसी सुरक्षा व्यवस्था को तोड़ा गया और न ही Lovable AI की किसी तकनीकी खामी का फायदा उठाया गया। उन्होंने उन्हीं एक्सेस तरीकों का इस्तेमाल किया, जो संबंधित एप्लिकेशन के सामान्य विजिटर्स के लिए उपलब्ध थे।

यह खुलासा बताता है कि यदि डेटाबेस की अनुमतियों को सही तरीके से कॉन्फिगर नहीं किया जाए, तो ऑनलाइन उपलब्ध एप्लिकेशन के जरिए निजी जानकारी अनजाने में सार्वजनिक हो सकती है।

पासपोर्ट और पहचान से जुड़ी जानकारी भी उजागर

रिसर्च में कुछ डेटाबेस में बेहद संवेदनशील व्यक्तिगत जानकारी भी मिली। एक सर्विस प्रोवाइडर के एप्लिकेशन में 1,000 से अधिक पासपोर्ट संबंधी रिकॉर्ड सार्वजनिक रूप से उपलब्ध थे। इनमें पासपोर्ट नंबर, समाप्ति की तारीख और राष्ट्रीयता जैसी जानकारियां शामिल थीं।

ऐसी जानकारी का इस्तेमाल पहचान की चोरी, फर्जी पहचान बनाने और वित्तीय धोखाधड़ी के लिए किया जा सकता है।

इसके अलावा, कुछ एप्लिकेशन में इवेंट बुकिंग, रेस्टोरेंट ऑर्डर और टिकट बिक्री से जुड़ा डेटा भी उजागर हुआ। इसमें ईमेल एड्रेस, फोन नंबर, डाक पते, भुगतान संबंधी जानकारी और टिकट कोड शामिल थे।

शोधकर्ताओं ने चेतावनी दी कि व्यक्तिगत जानकारी और लेनदेन के विवरण एक साथ उपलब्ध होने से साइबर अपराधियों के लिए लोगों को निशाना बनाना आसान हो सकता है।

2 लाख से ज्यादा निजी चैट मैसेज भी मिले

इस रिसर्च में सबसे बड़े डेटा एक्सपोजर में से एक लाइफस्टाइल फोरम से जुड़ा था, जिसे Lovable AI की मदद से बनाया गया था। इसके बैकएंड डेटाबेस में 2 लाख से अधिक निजी चैट मैसेज और लगभग 80 हजार यूजर प्रोफाइल तक पहुंच संभव थी।

अन्य एप्लिकेशन में कॉन्ट्रैक्ट, इनवॉइस, फोटो कलेक्शन और आंतरिक व्यावसायिक बातचीत भी उजागर हुई।

एक मामले में प्रॉपर्टी मैनेजमेंट कंपनी के एप्लिकेशन में आंतरिक ईमेल के AI से तैयार किए गए सारांश उपलब्ध थे। इनमें किरायेदारों, संपत्ति मालिकों और कारोबारी साझेदारों से जुड़ी जानकारी शामिल थी।

कुछ एप्लिकेशन में आंतरिक WhatsApp बातचीत भी सार्वजनिक रूप से उपलब्ध होने की बात सामने आई।

https://the420.in/fcrf-academy-12-india-focused-professional-certifications/

Supabase की सुरक्षा सेटिंग में मिली गड़बड़ी

शोधकर्ताओं ने इस समस्या की मुख्य वजह Supabase में Row Level Security (RLS) नियमों का सही तरीके से लागू नहीं होना बताया है।

Row Level Security एक ऐसी सुरक्षा सुविधा है, जिसके जरिए यह निर्धारित किया जाता है कि कोई यूजर डेटाबेस के किन रिकॉर्ड्स को देख या इस्तेमाल कर सकता है।

यदि ये नियम सही तरीके से कॉन्फिगर नहीं किए जाते, तो बिना लॉगिन करने वाले लोग भी सीधे डेटाबेस टेबल से जानकारी प्राप्त कर सकते हैं।

Lovable AI ने इन निष्कर्षों पर प्रतिक्रिया देते हुए कहा कि यह समस्या केवल उसके प्लेटफॉर्म तक सीमित नहीं है, बल्कि Supabase के गलत कॉन्फिगरेशन से जुड़ी एक व्यापक चुनौती है।

साइबर सुरक्षा कंपनी UpGuard की एक अलग रिसर्च में भी Supabase का इस्तेमाल करने वाले लगभग 3 लाख डोमेन का विश्लेषण किया गया। इसमें 16,326 ऐसे डेटाबेस मिले, जिनकी टेबल बाहरी लोगों के लिए पढ़ने योग्य थीं। इनमें से आधे से अधिक डेटाबेस में व्यक्तिगत जानकारी होने के संकेत मिले।

AI से ऐप बनाने के बढ़ते चलन ने बढ़ाई सुरक्षा की चिंता

Lovable AI को Vibe Coding के प्रमुख उदाहरणों में गिना जाता है। इस तकनीक में यूजर सामान्य भाषा में अपनी जरूरत बताता है और AI उसके आधार पर एप्लिकेशन का कोड तैयार करता है।

इससे बिना ज्यादा प्रोग्रामिंग जानकारी वाले लोग भी वेब एप्लिकेशन बना सकते हैं। हालांकि, तेजी से ऐप तैयार करने की यह सुविधा अपने साथ सुरक्षा संबंधी चुनौतियां भी लेकर आई है।

कई डेवलपर्स को डेटाबेस परमिशन, यूजर ऑथेंटिकेशन और डेटा प्राइवेसी की पर्याप्त जानकारी नहीं होती। ऐसे में उनका बनाया एप्लिकेशन देखने में पूरी तरह काम करता हुआ नजर आ सकता है, लेकिन उसके बैकएंड में गंभीर सुरक्षा खामियां मौजूद हो सकती हैं।

Lovable AI के केंद्रीय सिस्टम में सेंधमारी का सबूत नहीं

रिसर्च में ऐसा कोई सबूत नहीं मिला कि साइबर अपराधियों ने Lovable AI के अपने इंफ्रास्ट्रक्चर को हैक किया या कंपनी के किसी केंद्रीय डेटाबेस से जानकारी चुराई।

इसके बजाय, संवेदनशील डेटा उन अलग-अलग एप्लिकेशन के डेटाबेस में उजागर हुआ, जिन्हें Lovable AI की मदद से बनाया गया था और जिनमें पर्याप्त एक्सेस कंट्रोल मौजूद नहीं थे।

इसलिए इस घटना को सीधे Lovable AI का डेटा ब्रीच कहना सही नहीं होगा। यह मुख्य रूप से एप्लिकेशन और डेटाबेस की गलत सुरक्षा सेटिंग के कारण हुआ डेटा एक्सपोजर है।

AI से बने ऐप्स की सुरक्षा जांच जरूरी

यह रिसर्च बताती है कि AI की मदद से बनाए गए एप्लिकेशन को इस्तेमाल में लाने से पहले उनकी सुरक्षा जांच करना बेहद जरूरी है।

डेवलपर्स को डेटाबेस एक्सेस पॉलिसी की समीक्षा करनी चाहिए, जहां जरूरी हो वहां Row Level Security लागू करनी चाहिए और यह जांचना चाहिए कि बिना लॉगिन किए कोई व्यक्ति निजी रिकॉर्ड तक तो नहीं पहुंच सकता।

खासकर पासपोर्ट, भुगतान संबंधी जानकारी, निजी बातचीत और कारोबारी कॉन्ट्रैक्ट रखने वाले एप्लिकेशन में अतिरिक्त सुरक्षा उपाय जरूरी हैं।

AI की मदद से सॉफ्टवेयर बनाना आसान जरूर हुआ है, लेकिन इससे तैयार होने वाले एप्लिकेशन अपने आप सुरक्षित नहीं हो जाते।