شركة أمنية تكتشف نحو 16 ألف قاعدة بيانات على Supabase تسرّب بيانات شخصية

تكشف آلاف قواعد البيانات المستضافة على منصة التطوير Supabase معلومات حساسة عن الأشخاص على الويب العام، بحسب بحث جديد أجرته شركة الأمن السيبراني UpGuard. وقالت UpGuard لـTechCrunch إنها عثرت على نحو 16 ألف قاعدة بيانات تعرّض فيها قدر ما من البيانات الشخصية أثناء استضافتها على Supabase، التي تتيح لمطوري الويب والتطبيقات تخزين قواعد بياناتهم وتشغيلها.

وكانت Supabase قد بلغت تقييماً قدره 10 مليارات دولار في وقت سابق من هذا العام، مدفوعة بارتفاع عدد المطورين الذين يستضيفون تطبيقات مبنية بأسلوب “vibe coding” على المنصة، لكنها واجهت انتقادات بشأن طريقة تعاملها مع أمن المستخدمين، مع حالات موثقة على نطاق واسع لمستخدمين أساؤوا إعداد قواعد بياناتهم أو كشفوها دون قصد، وصلت في بعض الحالات إلى ملايين السجلات لكل حالة. وتُبرز نتائج UpGuard كيف يمكن للتطبيقات والمواقع المبنية بأسلوب “vibe coding” أن تسرّب بيانات حساسة عبر أخطاء إعداد أساسية: فأدوات الذكاء الاصطناعي تسهّل بناء التطبيقات، لكن الشيفرة المولّدة قد تحتوي على ثغرات أمنية أو تتطلب إعدادات محددة قد لا يكون المطور على علم بها.

وسعت UpGuard إلى قياس حجم البيانات المكشوفة عبر المنصة، فعثرت على أسماء وعناوين وأرقام هواتف وكلمات مرور مستخدمين متاحة للعامة، إلى جانب عدد أقل من كلمات المرور ورموز المصادقة المكشوفة. وارتبطت قواعد البيانات المكشوفة بمجموعة متنوعة من المشاريع: محادثات خاصة مع عاملات في مجال الجنس على موقع هندي للبث المباشر للبالغين؛ آلاف لوحات ترخيص السيارات تابعة لخدمة صف سيارات (فاليه) في الولايات المتحدة؛ معلومات اتصال لأشخاص استخدموا خدمة هجرة وانتقال؛ قاعدة بيانات تابعة لقنصلية حكومة أفريقية في فرنسا؛ وقاعدة بيانات استُخدمت لاعتراض رسائل نصية من قبل مزرعة شرائح SIM افتراضية ترسل رموز مرور لمرة واحدة للتحقق من حسابات إلكترونية، عادة لتنفيذ عمليات احتيال وتصيّد إلكتروني. وتقع معظم مجموعات البيانات المكشوفة في الولايات المتحدة، لكن UpGuard قالت إن المشكلة عالمية، وتُبنى على أبحاث سابقة عثرت على قواعد بيانات مكشوفة على Supabase تابعة لشركات ناشئة من Y Combinator وتطبيقات شائعة أخرى.

وأجرت Supabase تغييرات على منصتها على مر السنين، بما في ذلك تعزيز الأمن وضوابط وصول المستخدمين إلى قواعد البيانات. وقال كبير مسؤولي أمن المعلومات في الشركة، Bil Harmer، إن الشركة لم تطّلع على البحث، لكن مشاريعها آمنة افتراضياً، ووصف الأمن بأنه مسؤولية مشتركة: توفر الشركة إعدادات وأدوات آمنة بينما يتحكم العملاء في كيفية إعداد مشاريعهم الخاصة، وتُخطر العملاء المتضررين عند اكتشاف مشكلات أمنية. وقال Harmer: “الأمن في Supabase لا ينتهي أبداً. نحن نهتم بشدة بأن نُحسن الأداء، وسنواصل تسهيل الأمر على كل مطور لإطلاق منتجاته بأمان”. وقال باحث الأمن في UpGuard، Greg Pollock، إن البحث مهم لرفع الوعي بمشكلة كشف البيانات.

لماذا يهم

مع تقليص “vibe coding” المدعوم بالذكاء الاصطناعي لعائق إطلاق التطبيقات، تتحول الفجوة الأمنية بين ما تفعله الواجهة الخلفية المولَّدة وما يفهمه المطور عن إعداداتها إلى الثغرة الفعلية، وهو خطر يتزايد مع كل تطبيق جديد مبني بالذكاء الاصطناعي يُضاف إلى منصات مثل Supabase.