Algunos clientes de Supabase exponen públicamente grandes cantidades de datos personales en la web
Una reciente investigación de seguridad realizada por la firma UpGuard ha revelado que miles de bases de datos alojadas en la plataforma Supabase están expuestas públicamente en internet, poniendo en riesgo información sensible de usuarios. Según el informe, se identificaron aproximadamente 16.000 bases de datos con datos personales accesibles desde la red, lo cual representa un grave problema de privacidad y seguridad.
Supabase es una plataforma que permite a desarrolladores web y aplicaciones alojar y ejecutar sus bases de datos sin necesidad de gestionar infraestructura. La plataforma ha experimentado un crecimiento acelerado, alcanzando una valuación de 10 mil millones de dólares este año gracias al aumento de desarrolladores que utilizan su servicio para alojar sus aplicaciones. Sin embargo, esto también ha generado críticas sobre cómo se manejan las medidas de seguridad en la plataforma.
Los casos documentados de configuraciones incorrectas o accidentalmente expuestas bases de datos han sido frecuentes. En algunos casos, se han expuesto millones de registros de datos personales. Estos problemas resaltan cómo las aplicaciones creadas rápidamente con herramientas de código visual (vibe-coded) pueden contener vulnerabilidades de seguridad si no se configuran correctamente, incluso cuando se usan herramientas de inteligencia artificial para su desarrollo.
La investigación de UpGuard reveló datos sensibles como nombres, direcciones, números telefónicos y contraseñas de usuarios. Aunque la cantidad de contraseñas y tokens de autenticación fue menor, los datos encontrados incluían información relacionada con conversaciones privadas de trabajadoras sexuales en un sitio de transmisión en India, placas de automóviles de un servicio de estacionamiento en Estados Unidos, y datos de contacto de personas que utilizaron servicios de inmigración y traslado.
Otra base de datos pertenecía a un consulado africano en Francia, mientras que otra era utilizada por una granja de SIM virtuales para interceptar mensajes de texto con códigos de verificación. Estos últimos son comúnmente empleados en campañas de phishing y fraudes digitales. La mayoría de los datos expuestos se encontraban en Estados Unidos, pero UpGuard advirtió que el problema es global.
Estos hallazgos se suman a investigaciones anteriores que ya habían detectado bases de datos expuestas en Supabase, incluyendo algunas pertenecientes a startups del programa Y Combinator y otras aplicaciones populares. A pesar de ello, Supabase ha implementado cambios en su plataforma para mejorar la seguridad, especialmente en el acceso a las bases de datos y en las herramientas de gestión de usuarios.
Cuando TechCrunch contactó a Supabase para comentarios, su Director de Seguridad Informática, Bil Harmer, afirmó que los proyectos en su plataforma están configurados de forma segura por defecto. Señaló que la responsabilidad de mantener la seguridad es compartida entre la empresa y sus clientes, destacando que Supabase ofrece herramientas y configuraciones predeterminadas seguras, pero que cada usuario debe asegurarse de usarlas adecuadamente.
Este incidente refuerza la necesidad de una mayor conciencia sobre la seguridad en el desarrollo de aplicaciones, especialmente en plataformas que facilitan el rápido despliegue de servicios sin requerir conocimientos avanzados de infraestructura. La proliferación de herramientas de desarrollo impulsadas por IA, aunque potentes, también plantea nuevos retos en cuanto a la protección de datos personales.
Las implicaciones de estos descubrimientos podrían impactar tanto a desarrolladores individuales como a empresas que dependen de Supabase para almacenar información crítica. La falta de educación en seguridad y la confianza excesiva en configuraciones automáticas pueden tener consecuencias graves. La industria tecnológica necesita abordar estas brechas antes de que se conviertan en escenarios más comunes de filtraciones de datos.
La comunidad de desarrolladores está siendo llamada a reconsiderar sus prácticas de seguridad, especialmente en entornos donde se combinan herramientas de IA y plataformas de alojamiento. La responsabilidad compartida entre proveedores y usuarios se vuelve crucial para evitar futuros escándalos de exposición de datos personales.
Traducción y adaptación por Tecnología 365.
Fuente original: TechCrunch