هزاران پایگاه داده که توسط پلتفرم توسعه Supabase میزبانی می‌شوند، اطلاعات حساسی از مردم را در معرض وب عمومی قرار داده‌اند، که تحقیقات جدید امنیتی از سوی شرکت امنیت سایبری UpGuard آن را کشف کرده است.
UpGuard به TechCrunch گفت که آن‌ها حدود 16,000 پایگاه داده یافته‌اند که در آن‌ها به نوعی داده‌های شخصی فاش شده‌اند در حالی که تحت میزبانی Supabase بوده‌اند، پلتفرمی که به توسعه‌دهندگان وب و برنامه اجازه می‌دهد پایگاه‌های داده خود را ذخیره و اجرا کنند.
Supabase اوایل امسال به ارزش 10 میلیارد دلار رسید، که ناشی از افزایش میزبانی برنامه‌های کدگذاری ویزا توسط توسعه‌دهندگان بود. اما این شرکت با انتقادهایی در مورد نحوه مدیریت امنیت کاربران مواجه شده است. موارد مستند به‌خوبی وجود دارد که در آن کاربران پیکربندی نادرست یا به‌طور ناخواسته پایگاه‌های داده خود را به اینترنت وسیع‌تر افشا کرده‌اند، به‌گونه‌ای که در برخی موارد به میلیون‌ها رکورد رسیده است.
یافته‌ها نشان می‌دهد که چگونه برنامه‌ها و وب‌سایت‌های کدگذاری ویزا می‌توانند از طریق پیکربندی‌های پایه‌ای نادرست و عدم امنیت مناسب، داده‌های حساس را افشا یا فاش کنند. در حالی که ابزارهای هوش مصنوعی می‌توانند به‌راحتی برای ساخت وب‌سایت‌ها و برنامه‌ها استفاده شوند، کد تولید شده معمولاً ممکن است شامل نقص‌های امنیتی باشد، یا برنامه‌ها ممکن است نیازمند پیکربندی خاصی باشند که ممکن است توسعه‌دهنده از آن بی‌خبر باشد.
در طول سال‌ها، شمار بی‌شماری از نقض‌های داده با سرورهای ذخیره‌سازی، پایگاه‌های داده و وب‌سایت‌های پیکربندی نادرست مرتبط بوده‌اند. چنین مواردی منجر به نشت ایمیل‌های حساس نظامی، درخواست‌های مهاجرت و ویزا، سندهای محرمانه دولتی، صدها هزار اسکن گواهینامه‌های رانندگی و اطلاعات شخصی کودکان شده است.
اکنون، رونق در کدگذاری ویزا توسط هوش مصنوعی به ایجاد یک موج جدید از نقض داده‌ها کمک می‌کند، که بسیاری از آن‌ها اکنون به Supabase مربوط می‌شوند زیرا افراد به‌طور فزاینده‌ای از این پلتفرم برای ذخیره داده‌های خود استفاده می‌کنند.
UpGuard می‌گوید که تلاش کرده است مقیاس داده‌های افشا شده در سرتاسر این پلتفرم را درک کند و نام‌ها، آدرس‌ها، شماره تلفن‌ها و رمزهای عبور کاربران را در دسترس عموم یافته است. این تحقیق تعداد کمتری از رمزهای عبور و توکن‌های تأیید هویت را نشان داد.
این شرکت گفت که پایگاه‌های داده شامل داده‌های مربوط به پروژه‌های مختلفی است، مانند مکالمات خصوصی با کارگران جنسی در یک وب‌سایت بزرگسالان هندی؛ هزاران شماره پلاک از یک سرویس پارکینگ در ایالات متحده؛ و اطلاعات تماس افرادی که از یک سرویس مهاجرت و جابجایی استفاده کرده‌اند. یکی از پایگاه‌های داده به کنسولگری یک دولت آفریقایی در فرانسه تعلق داشت، در حالی که دیگری برای intercept واقعی پیام‌های متنی توسط یک مزرعه سیم مجازی برای ارسال کدهای عبور یکبار مصرف به‌منظور تأیید حساب‌های آنلاین استفاده می‌شد، که معمولاً برای راه‌اندازی کلاهبرداری‌ها و حملات فیشینگ به کار می‌رود.
در حالی که اکثر این مجموعه‌های داده افشا شده به نظر می‌رسد در ایالات متحده قرار دارند، UpGuard گفت که این یک مشکل جهانی است. یافته‌ها بر اساس تحقیقات قبلی است که همچنین دامنه‌ای از پایگاه‌های داده افشا شده که در Supabase میزبانی می‌شوند را کشف کرده است، از جمله پایگاه‌های داده استارتاپ‌های Y Combinator و برخی از دیگر برنامه‌های محبوب.
Supabase تغییراتی در پلتفرم خود در طول سال‌ها ایجاد کرده است، از جمله تقویت پلتفرم و دسترسی کاربران به پایگاه‌های داده.
هنگامی که برای اظهار نظر با Supabase تماس گرفته شد، رئیس امنیت اطلاعات این شرکت، بیل هارمر گفت که در حالی که این شرکت تحقیق را مشاهده نکرده است، پروژه‌های آن «به‌طور پیش‌فرض امن هستند». او امنیت را به‌عنوان یک مسئولیت مشترک بین شرکت و مشتریانش توصیف کرد. او گفت: «ما پیش‌فرض‌ها و ابزارهای امن را فراهم می‌کنیم، و مشتریان کنترل می‌کنند که پروژه‌های خود را چگونه پیکربندی کنند»، و شرکت به مشتریان متأثر هنگام کشف مشکلات امنیتی اطلاع‌رسانی می‌کند.
او گفت: «امنیت در Supabase هیچ‌گاه تمام نمی‌شود. ما به شدت نگران درست انجام دادن آن هستیم و ادامه خواهیم داد تا کار را برای هر توسعه‌دهنده برای ارسال با امنیت آسان‌تر کنیم.»
گرگ پولاك، محقق امنیتی UpGuard گفت که تحقیقات این شرکت برای افزایش آگاهی در مورد مشکل افشای داده‌ها بسیار اهمیت دارد.
