Firma de seguridad halla alrededor de 16.000 bases de datos de Supabase que exponen datos personales

Miles de bases de datos alojadas en la plataforma de desarrollo Supabase están exponiendo información sensible de las personas en la web pública, según una nueva investigación de la firma de ciberseguridad UpGuard. UpGuard le dijo a TechCrunch que encontró alrededor de 16.000 bases de datos con algún grado de datos personales expuestos mientras estaban alojadas en Supabase, plataforma que permite a desarrolladores web y de aplicaciones almacenar y ejecutar sus bases de datos.

Supabase alcanzó una valoración de USD 10000 millones a principios de este año, impulsada por el aumento de desarrolladores que alojan aplicaciones creadas mediante “vibe coding” en la plataforma, pero ha enfrentado críticas por su manejo de la seguridad de los usuarios, con casos ampliamente documentados de usuarios que configuraron mal o expusieron sin saberlo sus bases de datos, en algunos casos hasta con millones de registros cada una. Los hallazgos de UpGuard destacan cómo las aplicaciones y sitios web creados mediante “vibe coding” pueden filtrar datos sensibles a través de configuraciones básicas incorrectas: las herramientas de IA facilitan la creación de aplicaciones, pero el código generado puede contener fallos de seguridad o requerir una configuración específica que el desarrollador puede no conocer.

UpGuard se propuso medir la magnitud de los datos expuestos en la plataforma y encontró nombres, direcciones, números de teléfono y contraseñas de usuarios accesibles públicamente, junto con un menor número de contraseñas y tokens de autenticación expuestos. Las bases de datos expuestas estaban vinculadas a distintos proyectos: conversaciones privadas con trabajadoras sexuales en un sitio indio de streaming para adultos; miles de placas de matrícula de un servicio de valet parking en Estados Unidos; información de contacto de personas que usaron un servicio de inmigración y reubicación; una base de datos perteneciente al consulado de un gobierno africano en Francia; y una base de datos usada para interceptar mensajes de texto de una granja de tarjetas SIM virtuales que envía códigos de un solo uso para verificar cuentas en línea, típicamente para lanzar estafas y ataques de phishing. La mayoría de los conjuntos de datos expuestos se encuentran en Estados Unidos, pero UpGuard señaló que se trata de un problema global, que se suma a investigaciones anteriores que encontraron bases de datos expuestas de Supabase pertenecientes a empresas emergentes de Y Combinator y otras aplicaciones populares.

Supabase ha realizado cambios en su plataforma a lo largo de los años, incluido el refuerzo de la seguridad y los controles de acceso de usuarios a las bases de datos. El director de seguridad de la información, Bil Harmer, dijo que la empresa no había visto la investigación, pero que sus proyectos son seguros por defecto, y describió la seguridad como una responsabilidad compartida: la empresa ofrece configuraciones y herramientas seguras mientras los clientes controlan cómo configuran sus propios proyectos, y notifica a los clientes afectados cuando se detectan problemas de seguridad. “La seguridad en Supabase nunca está terminada”, dijo Harmer. “Nos importa profundamente hacerlo bien, y seguiremos facilitando que cada desarrollador pueda lanzar productos de forma segura”. El investigador de seguridad de UpGuard, Greg Pollock, dijo que la investigación era importante para crear conciencia sobre el problema de las exposiciones de datos.

Por qué importa

A medida que el “vibe coding” asistido por IA reduce la barrera para lanzar aplicaciones, la brecha de seguridad entre lo que hace un backend generado y lo que el desarrollador entiende sobre su configuración se convierte en la exposición, un riesgo que crece con cada nueva aplicación creada con IA que se suma a plataformas como Supabase.