Lovable: apps exponen pasaportes y 200K mensajes

Qué encontró la investigación de Crissy Field

24.664 aplicaciones construidas con Lovable devolvían registros de su base de datos a cualquier visitante, sin pedir login ni ninguna otra interacción. Entre esos registros había números de pasaporte, datos de pago y más de 200.000 mensajes privados. Si tu startup lanzó su producto con vibe coding, esto te toca directamente: la facilidad para construir no transfiere la responsabilidad sobre los datos de tus usuarios a nadie más.

El hallazgo viene de Crissy Field, una firma alemana de seguridad que analizó 159.041 proyectos creados en Lovable entre diciembre de 2025 y septiembre de 2026, en colaboración con el diario económico Handelsblatt, que publicó los primeros resultados el 2 de noviembre de 2026.

La metodología importa tanto como el resultado: los investigadores no explotaron ninguna vulnerabilidad ni accedieron a sistemas ajenos. Solo hicieron peticiones de lectura con la misma clave que la propia página entrega al navegador de cualquier visitante.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

De los 159.041 proyectos, 34.545 usaban Supabase como base de datos. En 24.664 de ellos, los registros llegaban al navegador sin autenticación. Al profundizar con consultas adicionales de solo lectura, encontraron direcciones de email en 10.560 tablas repartidas en 7.403 sitios, es decir el 30% de los 24.664 examinados.

Los propios autores piden cautela con ese 30%: un email puede ser un contacto público o un dato de prueba, y a la vez hay registros personales sin email que el método no detecta. La muestra, además, sale de Common Crawl y no es representativa de todas las apps de Lovable.

Los casos más graves: pasaportes, pagos y chats privados

Más allá de los porcentajes, la investigación documenta casos concretos que cualquier founder debería leer con atención:

Un foro alemán de estilo de vida exponía más de 80.000 perfiles con nombres completos, emails, fechas de nacimiento y género, además de más de 200.000 mensajes de chat.
Varios organizadores de eventos y restaurantes dejaban al descubierto decenas de miles de registros de venta de tickets y comida, con emails, teléfonos, direcciones postales, información de pago y códigos de entrada.
Una empresa de gestión de propiedades exponía resúmenes generados con IA de correos internos con información sensible sobre inquilinos, propietarios y socios.
Un proveedor de servicios tenía accesibles más de 1.000 registros con datos de documentos de identidad: números de pasaporte, fechas de expiración y nacionalidades.
También aparecieron decenas de miles de contratos, facturas, álbumes de fotos personales y conversaciones internas de WhatsApp.
En un caso, 280.000 emails enviados a clientes de un proveedor eran accesibles.

Los investigadores no pudieron establecer si alguno de estos datos fue usado de forma indebida. Pero el riesgo es evidente: phishing, fraude de tickets y robo de identidad son los usos naturales de ese material.

Por qué Supabase está en el centro del problema

El origen no es un hackeo a Lovable. Es la ausencia o mala configuración de las reglas de Row Level Security (RLS) en Supabase, el servicio que Lovable usa casi siempre para guardar los datos de las apps que genera.

No es un problema exclusivo de Lovable. Cybernews recogió que la firma de seguridad UpGuard examinó unos 300.000 dominios con indicios de Supabase y encontró 16.326 bases de datos con tablas legibles desde fuera; según UpGuard, más de la mitad de esos casos contenían indicios de datos personales. TechCrunch reportó los mismos hallazgos y añadió que Supabase alcanzó una valoración de US$10.000 millones en 2026, impulsada justamente por la ola de apps creadas con vibe coding.

La respuesta de Lovable, recogida por Cybernews, fue que se trata de un problema de configuración conocido y transversal a la industria. Supabase, por su parte, sostiene ante TechCrunch que sus proyectos son «secure by default» y que la seguridad es una responsabilidad compartida entre la plataforma y el cliente.

¿Es un fallo de Lovable o de sus usuarios?

Las dos cosas, y ahí está el nudo. Los términos y condiciones de Lovable colocan la responsabilidad sobre las aplicaciones y el manejo de datos en los propios clientes. Pero el marketing de la compañía insiste en que no hace falta conocimiento técnico para construir proyectos.

Esa brecha es el verdadero problema. Lovable, fundada en Estocolmo en 2023 por Anton Osika y Fabian Hedin, reporta más de 50 millones de proyectos entregados y 1,2 millones de nuevos cada semana, según Cybernews. Con ese volumen, los errores de configuración se repiten en patrones: un enfoque que funciona contra una app suele funcionar contra muchas otras con poco esfuerzo adicional.

Y quien construye sin background técnico tiene menos herramientas para detectar el fallo antes de que alguien más lo haga.

Qué significa esto para tu startup

Si tu producto corre sobre Lovable y Supabase, la pregunta no es si tu app se ve bien, sino qué devuelve su base de datos a alguien que no está logueado. Estas son las acciones concretas:

Prueba tu API como un desconocido. Toma la clave pública que tu app entrega al navegador y haz peticiones de solo lectura a cada tabla desde fuera de tu sesión. Si ves datos de clientes, tienes un problema abierto.
Activa y revisa RLS tabla por tabla. La seguridad por defecto no basta si las políticas no están definidas para cada tabla y cada rol.
Nunca uses datos reales en demos ni en entornos de prueba. Los pasaportes y las facturas que aparecieron en la investigación estaban en bases de producción, pero los entornos de staging suelen ser el eslabón más débil.
Repite la revisión después de cada cambio relevante. Los permisos que hoy están bien pueden romperse con la siguiente funcionalidad que agregues.
Suma una revisión externa antes de manejar datos reales. Los investigadores lo dicen sin rodeos: los chequeos automáticos no reemplazan una evaluación de seguridad profesional.

Si trabajas dentro de una empresa, vale la pena mirar Workspace Insights, la herramienta de Lovable que, según TechRepublic, da a los administradores un inventario de proyectos, hallazgos de seguridad, tablas de base de datos y el estado de las configuraciones de row-level security.

Para founders en España y LATAM hay un componente regulatorio que no conviene ignorar: los datos de identidad expuestos son categoría sensible bajo el RGPD europeo y bajo las leyes de protección de datos de la región. Una filtración de pasaportes no es solo un incidente técnico, es una exposición legal.

Conclusión

La promesa del vibe coding es real: una persona sin equipo de ingeniería puede poner un producto en producción en días. Pero esta investigación muestra el costo oculto de esa velocidad. 24.664 apps con datos al alcance de cualquiera no son un accidente aislado, son el patrón de una categoría entera que creció más rápido que sus prácticas de seguridad.

La lección para un founder es simple y no requiere ser experto: antes de que tu app toque datos reales de clientes, alguien tiene que revisar quién puede leer qué. Si no tienes esa persona en el equipo, contrátala. Es más barato que una filtración.