Некоторые клиенты Supabase открыли в интернете данные тысяч людей

Масштаб утечки

UpGuard сообщила TechCrunch, что обнаружила около 16 тысяч баз Supabase, в которых были доступны те или иные персональные данные. Платформа позволяет разработчикам сайтов и приложений хранить базы данных и запускать их.

В начале этого года оценка Supabase достигла 10 миллиардов долларов. Рост связан с тем, что всё больше разработчиков размещают на платформе приложения, созданные с помощью программирования по промтам. При этом компанию критиковали за подход к защите пользователей: известны многочисленные случаи, когда клиенты неправильно настраивали базы или не замечали, что открыли к ним доступ из интернета. В некоторых таких базах содержались миллионы записей.

Результаты исследования показывают, как приложения и сайты, созданные с помощью ИИ, могут раскрывать чувствительные данные из-за простых ошибок в настройках и недостаточной защиты. Инструменты ИИ упрощают создание сайтов и приложений, но сгенерированный код нередко содержит уязвимости. Кроме того, для безопасной работы приложениям могут требоваться настройки, о которых разработчик не знает.

За прошедшие годы с неправильной настройкой серверов хранения данных, баз и сайтов связывали множество утечек. Среди раскрытых сведений оказывались служебная переписка военных, иммиграционные и визовые заявления, секретные правительственные документы, сотни тысяч сканов водительских удостоверений и личные данные детей.

Бум программирования по промтам с помощью ИИ способствует новой волне утечек. Многие из них теперь связывают с Supabase: всё больше людей используют платформу для хранения данных.

Какие данные обнаружили

UpGuard изучала масштабы утечки и нашла в открытом доступе имена, адреса, номера телефонов и пароли пользователей. Паролей и токенов аутентификации исследователи обнаружили меньше.

Базы содержали данные разных проектов:

Большинство обнаруженных наборов данных, по оценке UpGuard, находились в США. Однако проблема носит глобальный характер. Исследование продолжает предыдущую работу, в которой тоже нашли открытые базы на Supabase, в том числе связанные со стартапами Y Combinator и другими популярными приложениями.

За последние годы Supabase вносила изменения в платформу, в частности усиливала её защиту и контроль доступа пользователей к базам данных.

Ответ Supabase

Директор по информационной безопасности Supabase Бил Хармер сообщил, что компания пока не ознакомилась с исследованием. При этом он заявил, что проекты на платформе «защищены по умолчанию», а безопасность зависит от совместной работы компании и клиентов. Supabase предоставляет безопасные настройки и инструменты, но клиенты сами определяют конфигурацию своих проектов. По словам Хармера, компания уведомляет затронутых клиентов, когда обнаруживает проблемы с безопасностью.

Хармер также сказал, что работа над безопасностью Supabase не заканчивается и компания продолжит упрощать разработчикам безопасный запуск приложений.

Исследователь безопасности UpGuard Грег Поллок отметил, что работа компании важна для привлечения внимания к проблеме раскрытия данных.