Supabase: 16 000 открытых баз, вайб-кодинг и утечка персональных данных

Около 16 тысяч баз данных, размещённых на платформе Supabase, оказались открытыми для публичного доступа. В них находились имена, адреса, телефонные номера и пароли пользователей; реже встречались токены аутентификации. Речь идёт не о единой утечке, а о множестве проектов, где владельцы неправильно настроили права доступа или не осознали, что база видна всему интернету. Supabase позволяет разработчикам веб- и мобильных приложений хранить и запускать базы данных, поэтому такие ошибки быстро превращаются в утечки персональной информации.

Контекст усиливает проблему. Платформа достигла оценки в 10 миллиардов долларов на волне роста вайб-кодинга, когда приложения и сайты собираются с помощью ИИ и минимального ручного вмешательства. Но у скорости есть цена: сгенерированный код может содержать уязвимости, а настройки безопасности требуют понимания, которого у непрофессионального разработчика часто нет. За годы неправильно сконфигурированные серверы, базы и сайты приводили к утечкам военных писем, иммиграционных и визовых заявок, государственных документов, сканов водительских прав и данных детей. Теперь волна ИИ-разработки подпитывает новый поток инцидентов.

Среди примеров — приватные переписки с секс-работницами на индийском взрослом стриминговом сервисе, тысячи номерных знаков американской службы парковщиков, контактные данные пользователей сервиса иммиграции и релокации. Одна из баз принадлежала консульству африканского государства во Франции. Другая использовалась виртуальной SIM-фермой для перехвата текстовых сообщений и отправки одноразовых кодов подтверждения, которые затем применяются в мошенничестве и фишинге. Большая часть наборов данных находилась в США, но проблема глобальная. Ранее уже находили открытые базы, связанные с стартапами Y Combinator и популярными приложениями.

Supabase заявляет, что проекты являются безопасными по умолчанию, а ответственность делится между компанией и клиентами. Главный специалист по информационной безопасности Бил Хармер говорит, что платформа даёт безопасные настройки и инструменты, но конфигурацию проектов контролируют сами пользователи; при обнаружении проблем клиентов уведомляют. Безопасность в Supabase не считается завершённой, и компания обещает упрощать безопасную разработку. Исследователь Грег Поллок считает такие находки важными для повышения осведомлённости о рисках открытых данных.

Отсюда следует несколько выводов. «Безопасность по умолчанию» не заменяет грамотную настройку: если управление отдано пользователю, часть из них неизбежно откроет лишнее. ИИ ускоряет создание продуктов, но не передаёт разработчику понимание моделей доступа, ролей и сетевых ограничений. Платформа могла бы блокировать публичный доступ к чувствительным таблицам до явного подтверждения, автоматически сканировать проекты и предупреждать владельцев до того, как данные проиндексируют поисковые системы. Пока этого не происходит, публичные утечки часто обнаруживают внешние исследователи, а не сами владельцы баз.