Milhares de apps feitas com Lovable expõem dados sem login: como verificar a sua

Uma análise da empresa alemã de segurança Crissy Field, divulgada a 2 de novembro de 2026 em colaboração com o jornal económico Handelsblatt, encontrou milhares de aplicações criadas com a Lovable que deixam dados de clientes acessíveis a qualquer visitante, sem login. Entre os dados encontrados estão números de passaporte, informação de pagamento e mais de 200 mil mensagens de chat.

A Lovable é uma das ferramentas mais populares para criar sites e aplicações a partir de instruções em linguagem natural, o chamado vibe coding. Se a sua empresa criou um formulário, uma área de clientes, um sistema de reservas ou uma loja com uma ferramenta deste tipo, vale a pena confirmar esta semana se os dados estão protegidos. Neste artigo resumimos o que foi encontrado e como verificar o seu caso.

O que os investigadores encontraram

Segundo o relatório da Crissy Field, os investigadores identificaram 159.041 projetos Lovable publicados entre dezembro de 2025 e setembro de 2026, a partir do arquivo público da web Common Crawl. Destes, 34.545 usavam o Supabase, o serviço de base de dados mais usado nestas aplicações.

Em 24.664 sites, a base de dados enviava registos para o navegador logo ao abrir a página, sem qualquer login. Isso, por si só, não é um problema, porque esses dados podem ser públicos de propósito, como uma lista de produtos. Mas, com pedidos adicionais apenas de leitura e com a mesma chave que o próprio site entrega a cada visitante, os investigadores conseguiram ler mais conteúdo. Encontraram registos com endereços de email em 10.560 tabelas de 7.403 desses sites, ou seja, 30%.

Os casos mais graves descritos no relatório incluem:

• um fórum alemão com mais de 80 mil perfis (nome, email, data de nascimento e género) e mais de 200 mil mensagens de chat acessíveis;
• organizadores de eventos e restaurantes com dezenas de milhares de registos de vendas de bilhetes e refeições, com emails, telefones, moradas, informação de pagamento e códigos de bilhetes;
• uma empresa de gestão de imóveis com resumos, gerados por IA, de emails internos sobre inquilinos, proprietários e parceiros;
• um prestador de serviços com mais de mil registos de documentos de identificação, incluindo números de passaporte, datas de validade e nacionalidades;
• dezenas de milhares de contratos, faturas, álbuns de fotografias e conversas internas de WhatsApp, além de subscrições de newsletters, listas de espera e pedidos de contacto.

O que o relatório não diz

A própria Crissy Field avisa que os 30% não devem ser lidos como uma taxa de fugas confirmada: um email pode ser um contacto público ou um dado de teste, e a amostra não representa todas as aplicações Lovable. Os investigadores também dizem que não conseguiram apurar se algum destes dados foi usado de forma abusiva, e não publicaram os detalhes de como lhes aceder.

Também é importante perceber que ninguém "pirateou" a Lovable nem o Supabase. Segundo a Cybernews, o problema está em regras de acesso à base de dados em falta ou mal configuradas em cada aplicação. A Lovable respondeu ao Handelsblatt que se trata de um problema de configuração conhecido e comum a todo o setor, e os seus termos de utilização colocam a responsabilidade pelas aplicações e pelos dados nos próprios clientes. A mesma publicação cita um estudo anterior da UpGuard que encontrou tabelas legíveis do exterior em 16.326 bases de dados Supabase.

Porque acontece

Numa aplicação com Supabase, o site comunica diretamente com a base de dados a partir do navegador, usando uma chave pública. Essa chave foi feita para ser pública. O que protege os dados são as regras de segurança ao nível das linhas da tabela, conhecidas como Row Level Security (RLS).

A documentação do Supabase é clara: uma tabela num esquema exposto sem RLS pode ser lida e alterada por qualquer função com permissões sobre ela. Recomenda ativar a RLS em todas as tabelas expostas e alerta que uma regra do tipo "qualquer visitante pode ler tudo" só deve ser usada para dados que são mesmo públicos.

O risco não é exclusivo da Lovable. Pode acontecer com qualquer ferramenta de criação de apps com IA ou com código escrito à mão. A diferença, notam os investigadores, é que as aplicações geradas seguem padrões repetidos, o que torna mais fácil a um atacante procurar o mesmo erro em muitos sites ao mesmo tempo. E quem não tem formação técnica tem mais dificuldade em detetar a falha.

Como verificar a sua aplicação

Se a sua empresa tem um site ou uma app feita com Lovable, Bolt, v0 ou outra ferramenta semelhante, e essa app guarda dados de clientes, faça estas verificações:

1. Abra o Security Advisor do Supabase. No painel do projeto, a secção de avisos de segurança indica as tabelas do esquema público com a RLS desativada. Cada uma é um ponto de atenção.
2. Ative a RLS em todas as tabelas expostas e crie regras para que cada utilizador só veja e altere os seus próprios registos. Deixe leitura pública apenas para o que é mesmo público, como o catálogo de produtos.
3. Teste como um desconhecido. Abra o site numa janela privada, sem sessão iniciada, e veja nas ferramentas de programador do navegador o que a página recebe da base de dados. Se aparecerem emails, telefones ou moradas de outras pessoas, há uma fuga.
4. Nunca coloque a chave secreta no site. A chave de administração do Supabase ignora todas as regras de segurança e só deve existir no servidor.
5. Reveja depois de cada alteração. Uma nova tabela ou funcionalidade pedida à IA pode criar uma nova porta aberta.

A recomendação final da Crissy Field vai no mesmo sentido: uma plataforma fácil de usar não dispensa uma revisão especializada das permissões antes de a aplicação tratar dados reais, e as verificações automáticas não substituem uma avaliação de segurança profissional.

Se encontrar dados expostos

Corrija primeiro as regras de acesso e confirme, de novo sem sessão iniciada, que as tabelas deixaram de responder. Depois, avalie se houve uma violação de dados pessoais. Segundo a Comissão Nacional de Proteção de Dados, o responsável pelo tratamento tem de notificar a CNPD no prazo de 72 horas após ter conhecimento da violação, a menos que esta não seja suscetível de resultar num risco para as pessoas. Mesmo sem notificação, o incidente deve ficar documentado.

Explicámos os primeiros passos num incidente em Site pirateado: o que fazer nas primeiras horas e as obrigações legais de um site empresarial em Site da empresa: obrigações legais em Portugal. Se usa agentes de IA com acesso a dados da empresa, veja também Segurança de agentes de IA: como proteger os dados.

Em resumo

Uma análise a 159.041 projetos Lovable, divulgada a 2 de novembro de 2026, encontrou registos com emails em 7.403 sites e casos graves com passaportes, pagamentos e mensagens privadas acessíveis sem login. A causa não foi um ataque à Lovable ou ao Supabase, mas regras de acesso em falta em cada aplicação. Se a sua empresa tem uma app feita com IA que guarda dados de clientes, confirme a RLS em todas as tabelas, teste sem sessão iniciada e peça uma revisão antes de tratar dados reais.

Quer saber como está o seu site?

A nossa auditoria gratuita analisa a segurança e o desempenho do seu site e mostra o que corrigir. Para rever as permissões de uma aplicação feita com IA ou com Supabase, escreva para info@marcaweb.pt ou ligue para o +351 920 260 897.