Over 16,000 Supabase databases expose PII, passwords, auth tokens

Un aná­li­sis rea­li­za­do por ex­per­tos en ges­tión de ries­gos ci­ber­né­ti­cos des­cu­brió que más de die­ci­séis mil bases de datos con­fi­gu­ra­das in­co­rrec­ta­men­te de­ja­ban ex­pues­tas ta­blas le­gi­bles con in­for­ma­ción de iden­ti­fi­ca­ción per­so­nal, cre­den­cia­les de ac­ce­so y to­kens de au­ten­ti­ca­ción. Los es­pe­cia­lis­tas de­ter­mi­na­ron, me­dian­te el es­tu­dio de los es­que­mas de las ta­blas, que una por­ción muy re­du­ci­da de los datos afec­ta­dos co­rres­pon­de a in­for­ma­ción de tar­je­tas de cré­di­to. Estas bases de datos per­te­ne­cen a Su­pa­ba­se, una pla­ta­for­ma de de­sa­rro­llo de có­di­go abier­to ba­sa­da en Post­greSQL que ofre­ce ser­vi­cios de bac­kend para ace­le­rar la crea­ción de apli­ca­cio­nes y si­tios web, y cuya po­pu­la­ri­dad ha cre­ci­do es­pe­cial­men­te entre de­sa­rro­lla­do­res que em­plean he­rra­mien­tas de in­te­li­gen­cia ar­ti­fi­cial.

La in­ves­ti­ga­ción abar­có un con­jun­to de apro­xi­ma­da­men­te tres­cien­tos mil do­mi­nios que evi­den­cia­ban el uso de Su­pa­ba­se, eva­luan­do la ac­ce­si­bi­li­dad de ta­blas de usua­rios u otras de­no­mi­na­cio­nes me­dian­te con­sul­tas. Entre los casos más des­ta­ca­dos de ex­po­si­ción se en­cuen­tran una em­pre­sa de valet par­king en Es­ta­dos Uni­dos con más de cien mil re­gis­tros de clien­tes ex­pues­tos, un ser­vi­cio de in­mi­gra­ción en Ca­na­dá con miles de re­gis­tros de usua­rios que in­cluían con­tra­se­ñas sin ci­frar, y una pla­ta­for­ma para crea­do­res de con­te­ni­do para adul­tos en India que fil­tró cuen­tas de pago, iden­ti­dad y más de cien mil men­sa­jes pri­va­dos. Asi­mis­mo, se vie­ron afec­ta­dos un ser­vi­cio de con­tra­se­ñas de un solo uso en Fi­li­pi­nas y un con­su­la­do gu­ber­na­men­tal en Áfri­ca con datos de miles de per­so­nas.