Тысячи баз данных Supabase открыли личные данные пользователей всему интернету

Компания UpGuard, специализирующаяся на кибербезопасности, сообщила TechCrunch, что нашла около 16 000 баз данных, размещённых на платформе Supabase, в которых в той или иной мере персональные данные пользователей были доступны из открытого интернета. Supabase позволяет разработчикам веб-приложений и сервисов хранить и запускать базы данных.

В этом году Supabase достигла оценки в 10 миллиардов долларов — во многом благодаря притоку разработчиков, размещающих на платформе приложения, собранные в стиле «vibe coding». Однако компанию критиковали за подход к безопасности пользователей: широко задокументированы случаи, когда пользователи по ошибке или по незнанию открывали свои базы данных всему интернету, порой на миллионы записей.

Как код от ИИ провоцирует утечки

Выводы исследователей показывают, как приложения и сайты, созданные с помощью ИИ, могут раскрывать чувствительные данные из-за элементарных ошибок конфигурации. ИИ-инструменты позволяют легко построить сайт или приложение, но сгенерированный код нередко содержит уязвимости, а сами приложения требуют настроек, о которых разработчик может попросту не знать.

За годы бесчисленные утечки были связаны с неправильно настроенными хранилищами, базами данных и сайтами — от военной переписки и заявлений на визу до сканов водительских удостоверений и данных детей. Теперь бум «vibe coding» подпитывает новую волну утечек, всё чаще связанных именно с Supabase.

Что именно оказалось на виду

UpGuard обнаружила в открытом доступе имена, адреса, номера телефонов и пароли пользователей; в меньшем числе случаев — пароли и токены аутентификации. Среди затронутых проектов — приватные переписки с работницами индийского сайта для взрослых, тысячи автомобильных номеров американской службы парковщиков, контактные данные клиентов иммиграционного сервиса. Одна база принадлежала консульству африканского государства во Франции, другая использовалась «фермой» виртуальных SIM-карт для перехвата одноразовых кодов — как правило, ради мошенничества и фишинга.

Большинство раскрытых наборов данных, по словам UpGuard, находится в США, но проблема носит мировой характер.

Ответ Supabase

Директор по информационной безопасности Supabase Бил Хармер заявил, что компания ещё не видела исследования, но её проекты «безопасны по умолчанию». Безопасность он назвал разделённой ответственностью: «Мы предоставляем безопасные настройки по умолчанию и инструменты, а клиенты сами управляют конфигурацией своих проектов». По его словам, компания уведомляет пострадавших клиентов при обнаружении проблем. «Безопасность в Supabase никогда не завершена», — добавил он.

Исследователь UpGuard Грег Поллок отметил, что работа компании важна для повышения осведомлённости о проблеме раскрытия данных.

Источник: TechCrunch