Empresa de segurança encontra cerca de 16 mil bancos de dados do Supabase que expõem dados pessoais

Milhares de bancos de dados hospedados na plataforma de desenvolvimento Supabase estão expondo informações sensíveis de pessoas na web pública, segundo uma nova pesquisa da empresa de cibersegurança UpGuard. A UpGuard disse ao TechCrunch que encontrou cerca de 16 mil bancos de dados com algum grau de dados pessoais expostos enquanto hospedados no Supabase, plataforma que permite a desenvolvedores web e de aplicativos armazenar e executar seus bancos de dados.

O Supabase alcançou uma avaliação de US$ 10 bilhões no início deste ano, impulsionado pelo aumento de desenvolvedores que hospedam na plataforma aplicativos criados por “vibe coding”, mas a empresa enfrenta críticas pela forma como lida com a segurança dos usuários, com casos amplamente documentados de usuários que configuraram mal ou expuseram sem saber seus bancos de dados, em alguns casos chegando a milhões de registros cada. Os achados da UpGuard mostram como aplicativos e sites criados por “vibe coding” podem vazar dados sensíveis por falhas básicas de configuração: as ferramentas de IA facilitam a criação de aplicativos, mas o código gerado pode conter falhas de segurança ou exigir uma configuração específica que o desenvolvedor talvez não conheça.

A UpGuard buscou medir a escala dos dados expostos na plataforma e encontrou nomes, endereços, telefones e senhas de usuários acessíveis publicamente, além de um número menor de senhas e tokens de autenticação expostos. Os bancos de dados expostos estavam ligados a uma série de projetos: conversas privadas com profissionais do sexo em um site indiano de streaming adulto; milhares de placas de veículos de um serviço de manobrista (valet) nos Estados Unidos; informações de contato de pessoas que usaram um serviço de imigração e realocação; um banco de dados pertencente ao consulado de um governo africano na França; e um banco de dados usado para interceptar mensagens de texto de uma fazenda de chips SIM virtuais que envia códigos de uso único para verificar contas on-line, geralmente usados para golpes e ataques de phishing. A maioria dos conjuntos de dados expostos está localizada nos Estados Unidos, mas a UpGuard disse que o problema é mundial, somando-se a pesquisas anteriores que encontraram bancos de dados expostos do Supabase pertencentes a startups da Y Combinator e outros aplicativos populares.

O Supabase fez mudanças em sua plataforma ao longo dos anos, incluindo o reforço da segurança e dos controles de acesso de usuários aos bancos de dados. O diretor de segurança da informação da empresa, Bil Harmer, disse que a empresa não havia visto a pesquisa, mas que seus projetos são seguros por padrão, descrevendo a segurança como uma responsabilidade compartilhada: a empresa oferece configurações e ferramentas seguras enquanto os clientes controlam como configuram seus próprios projetos, e notifica os clientes afetados quando problemas de segurança são descobertos. “A segurança no Supabase nunca está pronta”, disse Harmer. “Nos importamos profundamente em fazer isso da forma certa, e vamos continuar facilitando para que cada desenvolvedor lance seus produtos com segurança.” O pesquisador de segurança da UpGuard, Greg Pollock, disse que a pesquisa é importante para aumentar a conscientização sobre o problema das exposições de dados.

Por que importa

À medida que o “vibe coding” com apoio de IA reduz a barreira para lançar aplicativos, a lacuna de segurança entre o que um back-end gerado faz e o que o desenvolvedor entende sobre sua configuração se torna a exposição, um risco que cresce a cada novo aplicativo feito com IA que se soma a plataformas como o Supabase.