Около 16 тысяч баз данных, размещённых на платформе для разработки Supabase, оказались доступны в интернете вместе с персональными сведениями пользователей. К такому выводу пришла компания UpGuard, исследующая вопросы кибербезопасности, сообщившая о результатах сайту TechCrunch.
В открытом доступе обнаружили имена, адреса, номера телефонов и пароли. В меньшем числе случаев исследователи нашли также пароли и токены аутентификации. Supabase позволяет разработчикам хранить и запускать базы данных для сайтов и приложений.
Среди выявленных наборов данных были личные переписки с секс-работниками на индийском сайте для взрослых, тысячи автомобильных номеров американской службы парковки и контакты клиентов сервиса, связанного с иммиграцией и переездом. UpGuard также обнаружила базу консульства одной из африканских стран во Франции. Ещё одна база применялась для перехвата сообщений виртуальной SIM-фермой, отправлявшей одноразовые коды подтверждения аккаунтов, в том числе для мошеннических и фишинговых схем.
По данным UpGuard, большинство таких баз находилось в США, однако проблема носит международный характер. Исследователи связали утечки с неправильными настройками и недостаточными мерами защиты. В частности, приложения, созданные с помощью инструментов искусственного интеллекта, могут содержать уязвимости, а разработчики не всегда понимают, какие параметры необходимо изменить для безопасной работы.
Рост популярности так называемого vibe-coding — создания сайтов и приложений с помощью искусственного интеллекта — способствует новой волне утечек. Ранее неправильно настроенные серверы, базы данных и сайты уже становились причиной раскрытия военных писем, заявлений на визы, секретных государственных документов, сотен тысяч копий водительских удостоверений и сведений о детях. Supabase в последние годы усиливала защиту платформы и контроль доступа к базам данных.
Директор по информационной безопасности Supabase Бил Хармер заявил, что компания пока не ознакомилась с исследованием, однако её проекты «защищены по умолчанию». Он назвал безопасность общей ответственностью платформы и клиентов: «Мы предоставляем безопасные настройки по умолчанию и инструменты, а клиенты управляют конфигурацией собственных проектов», — сказал Хармер. По его словам, Supabase уведомляет затронутых пользователей после обнаружения проблем. «Безопасность в Supabase никогда не бывает завершённой. Мы очень серьёзно относимся к этой задаче и продолжим упрощать безопасный выпуск приложений для каждого разработчика», — добавил он. Исследователь UpGuard Грег Поллок отметил, что работа компании важна для привлечения внимания к проблеме раскрытия данных.