스웨덴 스타트업 러버블(Lovable)이 제공하는 '바이브 코딩(vibe-coding)' 플랫폼을 이용해 개발된 수천 개의 앱에서 여권 번호, 개인 메시지, 금융 기록 등 민감한 사용자 데이터가 노출되는 심각한 보안 취약점이 발견되었습니다. 사이버 보안 연구원 마틴 쿨터(Martin Coulter)와 스웨덴 보안 기업 트레이스패스(Trasecpass)의 조사에 따르면, 9,752개 이상의 러버블 기반 앱이 이러한 데이터 노출 위험에 처해 있다고 합니다.
러버블은 2022년에 설립되어 1,000만 달러(약 130억 원) 이상의 투자를 유치하고 80만 명 이상의 사용자를 확보한 스웨덴의 대표적인 AI 기반 노코드(No-code) 플랫폼 중 하나입니다. 이 플랫폼은 사용자가 코드를 작성하지 않고도 앱을 쉽게 만들 수 있도록 돕는 것을 목표로 합니다. 그러나 이번 연구에서는 러버블 플랫폼이 앱 데이터를 저장하는 방식에 근본적인 문제가 있음을 지적합니다. 특히, 1,000개 이상의 앱이 사용자 동의 없이 민감한 개인 식별 정보(PII)를 공개적으로 노출했으며, 여기에는 여권, 운전면허증, 신분증 스캔본, 개인 메시지, 금융 거래 내역 등이 포함되었습니다. 심지어 한 앱에서는 100만 명 이상의 사용자 데이터와 100만 개 이상의 개인 메시지가 노출된 사례도 있었습니다.
이번 사건은 노코드/로우코드(No-code/Low-code) 플랫폼의 편리함 뒤에 가려진 잠재적 보안 위험을 명확히 보여줍니다. 이러한 플랫폼은 개발 속도를 높이고 비전문가도 앱을 만들 수 있게 하지만, 플랫폼 자체의 보안 설계가 취약할 경우 수많은 개별 앱과 그 사용자들의 데이터가 한꺼번에 위험에 처할 수 있습니다. 특히, 러버블의 경우 개발자들이 보안에 대한 전문 지식 없이도 앱을 만들 수 있도록 유도하기 때문에, 플랫폼 제공자가 더욱 철저한 보안 검증과 안전한 데이터 처리 방식을 제공해야 할 책임이 큽니다. 이는 노코드/로우코드 생태계 전반에 걸쳐 보안 표준 강화와 개발자 교육의 중요성을 강조하는 계기가 될 것입니다.