Дослідники виявили тисячі відкритих баз даних на Supabase

Дослідники з кібербезпекової компанії UpGuard виявили близько 16 тисяч баз даних, розміщених на платформі Supabase, у яких у публічному доступі були персональні дані. Серед відкритої інформації — імена, адреси, номери телефонів і паролі користувачів, повідомляє TechCrunch.

Supabase надає розробникам інструменти для зберігання та роботи з базами даних для вебсайтів і застосунків. За даними UpGuard, у меншій кількості виявлених баз також містилися паролі та токени автентифікації.

Які дані були доступні

Дослідження охопило бази даних, пов’язані з різними проєктами. Зокрема, фахівці виявили приватні листування з працівниками секс-індустрії на індійському сайті дорослих трансляцій, тисячі номерних знаків клієнтів американського сервісу паркування, а також контактні дані людей, які користувалися сервісом імміграції та релокації.

За інформацією UpGuard, одна з баз належала консульству африканської держави у Франції. Інша використовувалася віртуальною SIM-фермою для перехоплення текстових повідомлень з одноразовими кодами, які застосовують для підтвердження облікових записів. Дослідники зазначили, що такі коди можуть використовуватися для шахрайства та фішингових атак.

Позиція платформи

У Supabase заявили, що ще не ознайомилися з дослідженням UpGuard. Директор з інформаційної безпеки компанії Біл Гармер сказав, що проєкти на платформі «захищені за замовчуванням», а безпека є спільною відповідальністю компанії та клієнтів.

За його словами, Supabase надає безпечні стандартні налаштування та інструменти, тоді як клієнти самостійно визначають конфігурацію власних проєктів. Гармер також повідомив, що компанія сповіщає клієнтів, яких стосуються виявлені проблеми безпеки. UpGuard вважає, що результати дослідження мають привернути увагу до ризиків витоку даних через неправильні налаштування баз даних і застосунків.