Lovable：数千件のアプリで個人情報が未認証のまま閲覧可能、調査で判明

「vibe coding（バイブコーディング）」の約束は、極めて現実的な課題に直面している。それは「誰がデータを保護するのか」という問題だ。ドイツのセキュリティ企業Crissy Fieldは、日常言語の指示からウェブアプリを生成するスウェーデン発のプラットフォームLovableで作成された15万9041件のプロジェクトを調査した。その結果、数千件のサイトで個人情報、場合によっては極めて機微なデータがログインなしで閲覧可能な状態にあった。ドイツの経済紙Handelsblatt（2026年11月2日付記事）と共同で行われたこの調査は、最新の数値を盛り込んだCrissy Fieldのレポートにまとめられている。

調査で測定された実態

Crissy Fieldは、Lovableプロジェクトで最も多く利用されているとみられるデータベースサービスSupabaseに焦点を当てた。2025年末に導入されたLovable独自のデータベースは今回の調査対象外となっている。

段階	件数
Common Crawlで特定されたLovableプロジェクト（2025年12月〜2026年9月）	159,041
Supabaseを利用しているプロジェクト	34,545
ログインなしでロード時にSupabaseレコードを送信するサイト	24,664
メールアドレスを含むテーブルが読み取り可能だったサイト	7,403（30%）、計10,560テーブル

最初の数値自体は脆弱性を意味するものではない。アプリが一部のデータを公開表示することは想定内だからだ。問題はその次の段階で発生する。研究チームがサイトで使われているものと同じAPIキーを用いて単純な読み取り専用リクエストを送信したところ、別のテーブルまで読み取ることができた。Crissy Fieldは新たな不正アクセスを助長しないよう具体的なアクセス手法を公表しておらず、データベースから取得したのも一部の抜粋にとどめている。

パスポートから私信まで

レポートに挙げられた事例は深刻だ。

• あるドイツのフォーラムでは、8万件以上のプロフィール（氏名、メールアドレス、生年月日）および20万件以上のディスカッションメッセージが露出していた。
• イベント主催者やレストランのサイトでは、電話番号、住所、決済情報、チケットコードを含む数万件の販売記録が読み取り可能だった。
• ある不動産管理会社では、入居者やパートナーに関する社内メールのAI要約が露出していた。
• あるサービス事業者では、パスポート番号、有効期限、国籍を含む1000件以上の記録が閲覧可能だった。
• その他にも、契約書、請求書、写真アルバム、社内WhatsAppの会話、そしてサプライヤーが顧客に送信した28万件のメールなどが確認された。

Crissy Fieldはこれらのデータが悪用されたかどうかは把握していないとしつつも、フィッシング詐欺、チケット詐欺、なりすまし犯罪に悪用される恐れがあると警鐘を鳴らしている。

「30%」という数値の限界

同レポートはこの統計値の扱いについて慎重な姿勢を示している。メールアドレスが公開の問い合わせ先やテストデータである可能性もあり、逆にメールアドレスを含まない個人ファイルは集計から漏れている。また、30%という数字は精査された2万4664件のサイトのみを対象としたものであり、Common Crawlから抽出されたサンプルはLovableアプリ全体を代表するものではない。したがって、これは確認された情報漏洩の割合ではない。

責任の所在はどこにあるのか

Crissy Fieldはひとつのギャップを指摘している。Lovableが「専門知識は一切不要」とアピールする一方で、利用規約ではアプリとそのデータ管理の責任を利用者側に負わせている点だ。Handelsblattを引用したIndia Todayの報道によると、Lovableはこの問題は自社プラットフォーム特有のものではなく業界全体に共通するものだと回答したとされる。現時点で当編集部は同社による公式な公開声明を確認できていない。

研究チームは、手作業で書かれたアプリケーションでもアクセス権限の設定ミスは起こり得ると認めている。しかしLovableのようなツールでは、データベース連携が定型パターンに従うため、1つのアプリで通用した手法が他の多数のアプリに対してもそのまま通用してしまう。さらに、技術的知識のない利用者はそうしたミスに気づくことがより難しい。研究チームは、実際の顧客データを扱う前にアクセス権限、インターフェース、アカウント間の分離状況を検証し、重要な変更を行うたびに再確認することを推奨している。