Тысячи баз данных, размещенных на платформе разработки Supabase, разоблачают конфиденциальную информацию людей в общедоступной сети, говорится в новом исследовании по кибербезопасности, проведенном фирмой UpGuard.
Что нашла компания UpGuard?
UpGuard сообщила TechCrunch, что обнаружила около 16 000 баз данных, в которых некоторые личные данные были раскрыты, когда они были размещены Supabase, что позволяет веб-разработчикам и разработчикам приложений хранить и запускать свои базы данных.
Supabase в начале этого года достигла оценки в 10 миллиардов долларов благодаря росту числа разработчиков, размещающих свои приложения на платформе. Но компания столкнулась с критикой за то, как она справляется с безопасностью пользователей. Есть широко задокументированные случаи, когда пользователи неправильно настраивают или неосознанно разоблачают свои базы данных в более широком Интернете, в некоторых случаях на мелодию миллионов записей каждый.
Выводы показывают, как приложения и веб-сайты с вибрационной кодировкой могут распространять или разоблачать конфиденциальные данные через основные неправильные конфигурации и ненадлежащую безопасность. Хотя инструменты ИИ могут быть использованы для создания веб-сайтов и приложений, генерируемый код часто может содержать недостатки безопасности, или приложения могут потребовать определенной конфигурации, о которой разработчик может не знать.
На протяжении многих лет бесчисленные утечки данных были связаны с неправильно настроенными серверами хранения, базами данных и веб-сайтами. Такие случаи привели к утечкам конфиденциальных военных электронных писем, заявлений на иммиграцию и визы, засекреченных правительственных файлов, сотен тысяч сканов водительских прав и личной информации детей.
Почему утечек стало больше?
Теперь бум в кодировании вибраций ИИ помогает подпитывать новую волну утечек данных, многие из которых теперь связаны с Supabase, поскольку люди все чаще используют его для хранения своих данных.
UpGuard стремится понять масштабы открытых данных на платформе и находит общедоступные имена, адреса, номера телефонов и пароли пользователей. Исследование выявило меньшее количество паролей и токенов аутентификации.
Какие данные оказались в открытом доступе?
В базах данных содержатся данные, связанные с различными проектами, такими как частные беседы с секс-работниками на индийском сайте для взрослых; тысячи номерных знаков службы камердинера США; и контактная информация людей, которые использовали службу иммиграции и переселения. Одна из баз данных принадлежала консульству африканского правительства во Франции, в то время как другая использовалась для перехвата текстовых сообщений виртуальной фермой SIM для отправки одноразовых паролей для проверки онлайн-аккаунтов, как правило, для запуска мошенничества и фишинговых атак.
В то время как большинство этих открытых наборов данных, по-видимому, находятся в Соединенных Штатах, UpGuard заявила, что это всемирная проблема. Результаты основаны на более ранних исследованиях, которые также обнаружили ряд открытых баз данных, размещенных на Supabase, в том числе стартапами Y Combinator и другими популярными приложениями.
На протяжении многих лет Supabase вносила изменения в свою платформу, в том числе расширяла доступ пользователей к базам данных.
Что говорит Supabase о безопасности?
Главный директор Supabase по информационной безопасности Бил Хармер сказал, что, хотя компания не видела исследования, ее проекты «безопасны по умолчанию». Он описал безопасность как общую ответственность между компанией и ее клиентами. «Мы обеспечиваем безопасные дефолты и инструменты, а клиенты контролируют, как настроены их собственные проекты», и компания уведомляет пострадавших клиентов, когда обнаруживаются проблемы безопасности.
«Безопасность в Супабасе никогда не кончается. Мы глубоко заботимся о том, чтобы все было правильно, и мы будем продолжать делать так, чтобы каждому разработчику было легче безопасно доставлять, — сказал Хармер.
Исследователь безопасности UpGuard Грег Поллок сказал, что исследования компании важны для повышения осведомленности о проблеме воздействия данных.
Вопросы и ответы
Сколько баз данных с утечками нашла компания UpGuard?
UpGuard обнаружила около 16 000 баз данных, размещённых на платформе Supabase, в которых часть личных данных оказалась раскрыта. Об этом компания сообщила TechCrunch. Исследование проводилось для оценки масштабов открытых данных.
Какие именно данные людей оказались в открытом доступе?
В открытых базах находились имена, адреса, номера телефонов и пароли пользователей, а также номера автомобилей, контактные данные иммигрантов, переписка с секс-работниками и данные консульства африканской страны во Франции.
Что говорит Supabase о безопасности своих проектов?
Директор по информационной безопасности Supabase Бил Хармер заявил, что проекты «безопасны по умолчанию», а безопасность — общая ответственность компании и клиентов. По его словам, Supabase уведомляет пострадавших клиентов при обнаружении проблем.
