UpGuard нашла около 16 тысяч открытых баз данных Supabase
Компания UpGuard обнаружила около 16 тысяч баз данных, размещённых на платформе Supabase, в которых публично были доступны персональные сведения. Исследователи видели имена, адреса, телефонные номера и пароли пользователей, а в меньшем числе случаев — пароли и токены аутентификации.
Supabase предоставляет разработчикам инфраструктуру для хранения и работы с базами данных веб- и мобильных приложений. Исследование UpGuard посвящено не уязвимости, подтверждённой в самой платформе, а проектам клиентов, чьи настройки сделали данные доступными из интернета.
Какие данные оказались доступны
В выборке UpGuard были базы с частными разговорами клиентов индийского сервиса взрослого стриминга, тысячами номерных знаков автомобилей американской valet-службы и контактными данными пользователей сервиса иммиграции и релокации. Одна из баз, по утверждению исследователей, принадлежала консульству африканского государства во Франции.
Ещё один обнаруженный проект использовался фермой виртуальных SIM-карт для перехвата SMS-сообщений с одноразовыми кодами подтверждения. Такие коды обычно применяют для верификации аккаунтов; UpGuard связала этот сценарий с мошенническими и фишинговыми операциями.
Большая часть открытых наборов данных, по наблюдениям UpGuard, была связана с США, однако проблема не ограничивается одной страной. Ранее исследователи уже находили на Supabase доступные извне базы стартапов Y Combinator и других популярных приложений.
Почему риск усиливается
Рост приложений, созданных с помощью ИИ-инструментов и вайб-кодинга, увеличивает число проектов, где разработчик может не учитывать требования к конфигурации и контролю доступа. Сгенерированный код также может содержать ошибки безопасности. На этом фоне важен контекст: рост оценки Supabase до 10 млрд долларов показывает, как быстро платформа стала заметной частью инфраструктуры для разработчиков.
Главный специалист Supabase по информационной безопасности Бил Хармер заявил, что проекты на платформе «защищены по умолчанию». По его словам, безопасность является общей ответственностью: Supabase предоставляет безопасные настройки и инструменты, а клиенты управляют конфигурацией собственных проектов. Компания также уведомляет затронутых клиентов, когда обнаруживает проблемы безопасности.
Что проверить компаниям
Для бизнеса этот случай означает необходимость отдельно проверять опубликованные базы, правила авторизации и доступ к данным до запуска приложения. Автоматизация разработки не отменяет контроль конфигурации: владельцу проекта нужно убедиться, что таблицы, хранилища, токены и пользовательские данные не доступны анонимным посетителям интернета.