Деякі клієнти Supabase публічно викладають великі обсяги даних людей в Інтернет

Згідно з дослідженням UpGuard, близько 16 тисяч баз даних містили персональні відомості, доступні публічно. Це включає імена, адреси, номери телефонів та, в деяких випадках, паролі й токени автентифікації. Виявлені дані пов'язані з різноманітними проєктами: від приватних розмов на стрімінгових сайтах до реєстрації номерних знаків та контактної інформації користувачів імміграційних послуг.

Supabase, платформа для розробників, яка дозволяє зберігати та керувати базами даних, досягла оцінки у 10 мільярдів доларів на початку цього року. Однак її критикують за підходи до безпеки користувачів. Проблеми часто виникають через некоректну конфігурацію або ненавмисне викриття баз даних розробниками, що призводить до витоків мільйонів записів.

Ці висновки підкреслюють зростаючу проблему безпеки даних в епоху швидкого розгортання застосунків, зокрема з використанням інструментів на базі штучного інтелекту. Хоча ШІ-інструменти спрощують створення вебсайтів та програм, згенерований код може містити вразливості, а розробники можуть не усвідомлювати нюанси безпечної конфігурації.

Представники Supabase, зокрема головний офіцер з інформаційної безпеки Біл Хармер, заявляють, що їхні проєкти «за замовчуванням безпечні», а безпека є спільною відповідальністю компанії та клієнтів. Компанія надає інструменти та сповіщає клієнтів про виявлені проблеми, проте кінцева конфігурація залишається за користувачами.

Історично численні витоки даних були пов'язані з неправильно налаштованими серверами зберігання, базами даних та вебсайтами. Ці інциденти призводили до викриття різноманітної конфіденційної інформації, включаючи державні документи та особисті дані дітей. Поточна ситуація з Supabase свідчить про те, що бум ШІ-кодування сприяє новій хвилі витоків даних.

Що це означає: Викриття даних на Supabase підкреслює критичну важливість належної конфігурації та управління безпекою для компаній та розробників, які використовують хмарні платформи. Потенційні наслідки таких витоків можуть включати значні репутаційні та фінансові збитки, а також юридичні позови через порушення законодавства про захист персональних даних.