Crissy Field 조사, Lovable 사이트 7,403곳서 무로그인 이메일 포함 기록 확인

본문

애플리케이션 보안 업체 Crissy Field GmbH가 Lovable로 만든 웹 앱에서 로그인 없이 Supabase 데이터베이스 기록을 추가로 읽을 수 있었던 사례를 보고했습니다. 보고서는 Handelsblatt와 함께 조사했으며, 2026년 11월 2일 Handelsblatt 기사보다 최신 분석과 수치를 담았다고 밝힙니다. 조사 대상은 Lovable 앱에 연결된 Supabase 데이터베이스입니다.

Lovable은 자연어 설명을 바탕으로 웹 앱을 만들며, 사용자 관리나 데이터베이스 연결을 포함한 앱도 구성할 수 있습니다. 앱은 페이지를 표시하는 과정에서 데이터베이스 기록을 불러올 수 있습니다. Crissy Field는 페이지를 처음 열 때 데이터가 전송되는지와 같은 API 키로 추가 읽기 요청을 보냈을 때 더 많은 데이터에 접근할 수 있는지를 나눠 조사했습니다.

조사팀은 Common Crawl 자료를 이용해 2025년 12월부터 2026년 9월까지 Lovable 프로젝트 159,041개를 찾았고, 이 가운데 34,545개가 Supabase를 사용했다고 집계했습니다. Crissy Field는 Supabase 연동을 비교적 분석하기 쉽고 Lovable 프로젝트에서 널리 쓰인다고 판단해 이 서비스를 조사 대상으로 삼았습니다. Lovable이 2025년 말 도입한 자체 데이터베이스 기능은 이번 조사에 포함하지 않았습니다.

확인한 사이트 24,664곳은 로그인이나 다른 이용자 조작 없이 페이지가 처음 열릴 때 Supabase 데이터 기록을 전송했습니다. 공개 표시용 데이터를 불러오는 경우도 있어 Crissy Field는 이 동작 자체를 보안 문제로 집계하지 않았습니다. 조사팀은 추가 읽기 전용 요청으로 데이터베이스에서 더 많은 내용을 가져올 수 있는지 확인했고, 그 결과 7,403개 사이트의 10,560개 테이블에서 이메일 주소가 포함된 기록을 찾았습니다. 30%라는 수치는 Lovable 프로젝트 159,041개 전체가 아니라 처음 로딩 때 Supabase 데이터를 전송한 24,664개 사이트 가운데 해당 기록을 찾은 비율입니다.

이 수치는 전체 Lovable 앱의 유출률을 나타내지 않습니다. 이메일 주소가 들어 있어도 공개 연락처나 테스트 데이터일 수 있고, 이메일 없이 이름이나 다른 개인정보를 담은 기록은 조사 방식으로 놓칠 수 있습니다. Crissy Field는 이런 오차의 크기를 정하지 못했으며 Common Crawl 표본도 전체 Lovable 앱을 대표하지 않는다고 설명합니다. 조사팀은 데이터베이스 전체를 내려받지 않고 일부만 확인했습니다. 영향을 받은 데이터셋에는 실제 확인한 것보다 더 많은 기록이 들어 있을 수 있다고 보고서는 덧붙였습니다.

확인한 사례에는 이름, 이메일 주소, 생년월일, 성별이 담긴 사용자 프로필 8만여 건과 채팅 메시지 20만여 건이 포함됐습니다. 한 서비스 제공업체에서는 여권 번호와 만료일, 국적이 담긴 신원 정보 기록 1천여 건을 확인했습니다. 행사와 음식 판매 기록에는 연락처, 주소, 결제 정보, 티켓 코드가 포함됐고, 다른 사례에서는 내부 이메일의 AI 요약과 고객에게 보낸 이메일 28만 건도 열람할 수 있었습니다. Crissy Field는 기록이 피싱이나 티켓 사기, 신원 도용에 악용될 가능성을 언급했지만 실제 악용 여부는 확인하지 못했다고 밝혔습니다.

Crissy Field는 사람이나 AI가 만든 앱 모두 접근 권한 설정 오류가 생길 수 있다고 설명합니다. 다만 Lovable 앱의 데이터베이스 연결에는 반복되는 패턴이 있어 한 앱에서 발견한 설정 오류를 다른 앱에서도 찾아내기 쉬워질 수 있다고 봤습니다. 보고서는 Handelsblatt가 조사 결과를 Lovable에 전달했다고 적었습니다.

자료: Crissy Field / 정리·해설: Trawling