Кибербезопасная фирма UpGuard обнаружила около 16 000 баз данных на платформе Supabase, которые оставляли конфиденциальные данные пользователей в открытом доступе.
Supabase — популярная платформа для разработчиков, позволяющая хранить и запускать базы данных для веб- и мобильных приложений. Ранее в этом году компания достигла оценки в $10 млрд благодаря росту числа разработчиков, использующих её для vibe-coded приложений.
Несмотря на успех, Supabase критикуют за подход к безопасности пользователей. Известны многочисленные случаи, когда пользователи по ошибке или незнанию оставляли базы данных открытыми для всего интернета — иногда с утечкой миллионов записей.
Это показывает, как приложения, созданные с помощью ИИ, могут раскрывать конфиденциальные данные из-за элементарных ошибок конфигурации.
ИИ-инструменты упрощают создание сайтов и приложений, но сгенерированный код часто содержит уязвимости, а необходимые настройки безопасности разработчики могут просто не знать.
UpGuard выявила в открытом доступе имена, адреса, номера телефонов и пароли пользователей, а также небольшое количество токенов аутентификации. Среди утечек — переписки с секс-работницами индийского стриминг-сервиса для взрослых, номера автомобилей американской парковочной службы и контакты клиентов иммиграционной компании.
Также была раскрыта база данных консульства одной африканской страны во Франции и база, использовавшаяся SIM-фермой для перехвата одноразовых кодов подтверждения — инструмента, часто применяемого в мошеннических схемах.
Хотя большинство утечек связано с США, проблема носит глобальный характер. Ранее уже находили открытые базы Supabase, принадлежащие стартапам Y Combinator и другим популярным сервисам.
Supabase заявила, что не видела исследование UpGuard, но её проекты «безопасны по умолчанию». Директор по информационной безопасности компании Бил Хармер назвал защиту данных общей ответственностью платформы и клиентов, отметив, что компания уведомляет пользователей при обнаружении проблем.
«Безопасность в Supabase — это непрерывный процесс. Мы стремимся делать его проще для каждого разработчика», — подчеркнул Хармер.