UpGuard ha individuato 16.326 database ospitati su Supabase con tabelle pubblicamente leggibili. In oltre metà, l’analisi degli schemi ha rilevato indicatori della presenza di dati personali; una quota più piccola presentava password o token di autenticazione. Il problema riguarda configurazioni di accesso non adeguatamente protette.
Il problema non viene attribuito a una singola violazione della piattaforma, ma a database configurati in modo improprio dai clienti. Il caso riporta l’attenzione sui rischi delle applicazioni create rapidamente con strumenti di intelligenza artificiale, quando codice e impostazioni di sicurezza non vengono controllati con sufficiente attenzione.
Che cosa ha trovato UpGuard
La ricerca ha esaminato l’esposizione di dati su Supabase, piattaforma usata dagli sviluppatori per gestire i database di siti e app. Per valutare le informazioni potenzialmente esposte, UpGuard ha analizzato gli schemi delle tabelle, senza leggere ogni record di tutti gli archivi.
I ricercatori hanno poi approfondito alcuni casi per verificare la presenza effettiva di dati sensibili. Una quota più piccola dei database individuati presentava password o token di autenticazione, elementi che possono consentire accessi non autorizzati a seconda della loro validità e dei permessi associati.
Tra i dataset citati dalla ricerca ci sarebbero conversazioni private su un sito indiano di streaming per adulti, migliaia di targhe raccolte da un servizio di valet parking statunitense e contatti di persone che avevano usato un servizio per immigrazione e trasferimenti. UpGuard segnala inoltre un database collegato al consolato in Francia di un governo africano.
Un altro database individuato sarebbe stato impiegato da una SIM farm virtuale per intercettare messaggi di testo contenenti codici monouso, normalmente usati per verificare gli account online. Secondo la ricostruzione, questi sistemi possono essere sfruttati per truffe e campagne di phishing.
Il nodo è la configurazione, non un attacco unico
La ricerca descrive un problema distribuito: non un solo archivio violato, ma molti progetti che hanno lasciato pubbliche risorse che avrebbero dovuto essere riservate. La maggior parte dei dataset esposti sembrerebbe trovarsi negli Stati Uniti, ma UpGuard definisce la questione mondiale.
Database, server di archiviazione e siti configurati male sono da anni una causa ricorrente di fughe di dati. In questo caso, la diffusione di strumenti per creare rapidamente app e siti con l’AI può aumentare il rischio: il codice generato può contenere falle oppure richiedere configurazioni di sicurezza che chi sviluppa non conosce o non completa.
Questo aspetto è rilevante soprattutto per il cosiddetto vibe coding, cioè l’uso di strumenti basati sull’intelligenza artificiale per costruire software con istruzioni in linguaggio naturale. Ridurre il tempo necessario a creare un’app non riduce automaticamente la responsabilità di impostare correttamente accessi, permessi e visibilità dei dati.
La risposta di Supabase
Contattato da TechCrunch, il Chief Information Security Officer di Supabase, Bil Harmer, ha precisato che l’azienda non aveva ancora visionato la ricerca. Ha descritto i progetti come sicuri nelle impostazioni iniziali e la sicurezza come una responsabilità condivisa tra Supabase e i suoi clienti.
La posizione dell’azienda è che Supabase mette a disposizione impostazioni predefinite e strumenti sicuri, mentre i clienti controllano la configurazione dei propri progetti. Harmer ha aggiunto che la società avvisa i clienti interessati quando vengono individuati problemi di sicurezza e continua a lavorare per rendere più semplice lo sviluppo sicuro.
Supabase aveva già introdotto modifiche alla piattaforma e agli strumenti di accesso ai database. La nuova ricerca si inserisce però in un contesto in cui erano già emersi altri database esposti, compresi progetti riconducibili a startup passate da Y Combinator e ad app popolari.
Perché i dati esposti sono un problema concreto
Un database raggiungibile pubblicamente può rendere disponibili informazioni che, combinate tra loro, facilitano furti d’identità, contatti indesiderati, tentativi di phishing e accessi non autorizzati. Il rischio non dipende soltanto dal volume di record: anche un archivio piccolo può contenere dati particolarmente delicati.
La presenza di token o credenziali aggrava il quadro perché questi elementi non sono semplici dati descrittivi. Possono essere usati per autenticarsi verso servizi digitali, a seconda di come sono stati generati e configurati. La ricerca non indica che tutti i database individuati contenessero tali informazioni, ma ne segnala il ritrovamento in una parte dei casi.
FAQ
Supabase ha subito una violazione unica?
No. La ricerca descrive database di clienti resi pubblicamente accessibili attraverso configurazioni errate o incomplete, non un singolo attacco dichiarato contro tutta la piattaforma.
Quali dati sono stati trovati esposti?
Nei casi approfonditi, UpGuard ha trovato dati personali come nomi, indirizzi e numeri di telefono. Alcuni archivi contenevano anche password o token di autenticazione: non tutti i database individuati esponevano gli stessi tipi di informazioni.
Il problema riguarda soltanto gli Stati Uniti?
No. Sebbene la maggior parte dei dataset individuati sembri essere negli Stati Uniti, UpGuard afferma che si tratta di un problema mondiale.
Considerazioni finali
Il dato più preoccupante non è soltanto il numero dei database individuati, ma la natura ordinaria dell’errore: una configurazione lasciata aperta può trasformare un progetto nato per pochi utenti in una fonte pubblica di informazioni sensibili. La rapidità promessa dagli strumenti di sviluppo assistito dall’AI rende questo controllo ancora meno rinviabile.
La risposta di Supabase richiama correttamente una responsabilità condivisa, ma non attenua il punto centrale della ricerca: impostazioni sicure e strumenti adeguati devono essere accompagnati da verifiche concrete prima che un’app raccolga dati reali. Nomi, contatti, password e token non possono dipendere da una configurazione lasciata al caso.