Kibervédelmi cég, az UpGuard friss kutatása szerint körülbelül 16 000 olyan adatbázist találtak, amelyeket a fejlesztők Supabase platformján hosztoltak, és amelyeknél valamilyen személyes adat nyilvánosan hozzáférhetővé vált a weben. A Supabase web- és mobilalkalmazás-fejlesztők számára biztosít adatbázis-tárolást és futtatási lehetőséget.
A Supabase idén elérte a 10 milliárd dolláros értékeltséget, mivel sok fejlesztő a platformon tárolja alkalmazásait és azok adatait. Ugyanakkor a vállalatot többször érte kritika a felhasználói biztonság kezelésével kapcsolatban: széles körben dokumentált esetek mutatnak rá, hogy felhasználók helytelenül konfigurálták vagy tudtukon kívül tették hozzáférhetővé adatbázisaikat az internet számára, néhány incidens akár millió feljegyzést is érintett.
A mostani eredmények rávilágítanak arra, hogy az úgynevezett vibe-kódolt (AI- vagy segédeszközökkel gyorsan generált) weboldalak és alkalmazások hogyan tudnak alapvető beállítási hibák miatt érzékeny adatokat kiszivárogtatni. Az ilyen eszközökkel könnyebb és gyorsabb weboldalakat és alkalmazásokat készíteni, de a generált kódban gyakran maradhatnak biztonsági hibák, illetve a futtatáshoz szükséges konfigurációk ismeretének hiánya is veszélyt jelenthet.
Az évek során számos adatvédelmi incidens vezethető vissza helytelenül konfigurált tárolószerverekre, adatbázisokra és weboldalakra; ezek között voltak érzékeny katonai emailek, bevándorlási és vízumkérelmek, minősített kormányzati fájlok, több százezer jogosítványszken és gyermekek személyes adatai.
Az UpGuard azt írta, hogy felmérése során nyilvánosan elérhető neveket, címeket, telefonszámokat és felhasználói jelszavakat talált. Jelszavakból és hitelesítési tokenekből kisebb számban bukkantak rá. A kutatás konkrét példákat is felsorolt: privát beszélgetések egy indiai felnőtt streaming oldalon szexmunkásokkal folytatott kommunikációról; több ezer rendszám egy amerikai parkoltató szolgáltatás adatbázisában; valamint egy bevándorlási és áttelepítési szolgáltatást igénybe vevők elérhetőségei.
Az UpGuard szerint az egyik adatbázis egy afrikai ország franciaországi konzulátusához kapcsolódott, míg egy másik olyan virtuális SIM-farmhoz tartozott, amely SMS-ek elfogására és egyszer használatos jelkódok továbbítására szolgál — ezeket gyakran csalások és adathalász támadások indításához használják.
Bár a feltárt, hozzáférhető adathalmazok többsége az Egyesült Államokban található, az UpGuard hangsúlyozta, hogy a probléma globális. Az eredmények ráépülnek korábbi kutatásokra, amelyek szintén találtak Supabase-en hosztolt, nyitott adatbázisokat, többek között Y Combinator‑hoz kötődő startupoknál és más népszerű alkalmazásoknál.
A Supabase az évek során módosításokat vezetett be platformján, például a platform és a felhasználói hozzáférések megerősítésére. Amikor megkeresték, Bil Harmer, a Supabase információbiztonsági vezetője azt mondta, hogy bár a cég még nem látta az UpGuard kutatását, projektjeik „alapból biztonságosak”. Harmer szerint a biztonság közös felelősség a cég és ügyfelei között: „Biztosítunk biztonságos alapbeállításokat és eszközöket, és az ügyfelek irányítják, hogyan vannak konfigurálva a saját projektjeik.” Hozzátette, hogy a cég értesíti az érintett ügyfeleket, amikor biztonsági problémát találnak.
„A biztonság a Supabase-nél soha nincs kész. Mélyen törődünk azzal, hogy helyesen csináljuk, és továbbra is könnyebbé tesszük minden fejlesztő számára a biztonságos kiadást,” tette hozzá Harmer.
Az UpGuard kutatója, Greg Pollock szerint a kutatás fontos volt annak tudatosítására, hogy a nyilvános adatbázis‑expozíciók problémája milyen mértékű lehet a platformon.
