Около 16 000 баз на Supabase открыты всему интернету: виноваты настройки и вайб-кодинг
Изображение: OpenAI
Компания UpGuard нашла около 16 000 баз данных на платформе Supabase, из которых в открытый интернет утекают персональные данные: имена, адреса, телефоны и пароли пользователей, реже токены аутентификации. Находка показывает, как приложения, собранные с помощью ИИ-инструментов, выдают чужие данные из-за базовых ошибок настройки.
Supabase позволяет разработчикам хранить и запускать базы данных для сайтов и приложений. В этом году платформа получила оценку в 10 млрд долларов во многом благодаря тем, кто размещает на ней приложения, написанные с помощью ИИ. Сгенерированный код часто содержит уязвимости, а нужных для защиты настроек разработчик может просто не знать.
Среди открытых баз оказались личная переписка с секс-работниками индийского стримингового сайта для взрослых, тысячи автомобильных номеров из американского сервиса парковки и контакты людей, обращавшихся в сервис по иммиграции и переезду. Одна база принадлежала консульству африканской страны во Франции, другую использовала ферма виртуальных SIM-карт, которая перехватывала одноразовые коды для подтверждения онлайн-аккаунтов, что обычно нужно для мошенничества и фишинга.
Большая часть открытых баз, судя по всему, находится в США, но в UpGuard считают проблему мировой. Раньше открытые базы на Supabase находили и у стартапов Y Combinator, и у популярных приложений.
Директор по информационной безопасности Supabase Bil Harmer сказал TechCrunch, что исследование ещё не видел, а проекты платформы «защищены по умолчанию». Безопасность он назвал общей ответственностью: «Мы даём безопасные настройки по умолчанию и инструменты, а клиенты сами управляют конфигурацией своих проектов». По его словам, при обнаружении проблем компания уведомляет пострадавших клиентов.
