O Spring Security espera três colunas da consulta do usuário, em ordem:

1. nome de usuário
2. senha
3. ativado (booleano)

Você não tem o último. Se você não tiver um equivalente a "habilitado" em seu banco de dados, poderá usar um TRUE constante.