Утечка Supabase затронула более 16 тысяч неправильно настроенных баз данных: исследователи нашли читаемые таблицы с персональными данными, паролями и токенами авторизации. Для разработчиков и компаний, которые собирают MVP на готовом backend-as-a-service, это неприятное напоминание: быстрый старт не отменяет базовую настройку доступа, даже если приложение собрал не джун, а модный AI-агент.
О находке сообщает BleepingComputer со ссылкой на исследователей компании UpGuard. Они изучили набор примерно из 300 тысяч доменов, где были признаки использования Supabase, и проверяли, доступны ли таблицы вроде users. В одних случаях запросы возвращали содержимое таблиц напрямую, в других показывали, что таблицы с таким именем нет, но рядом лежит другая доступная структура. После этого исследователи анализировали схемы таблиц и по ним оценивали, какие типы данных оказались наружу.
Картина получилась не из категории мелких недочетов. Более чем в половине найденных открытых баз UpGuard обнаружила персональные данные: имена, контакты, адреса, историю взаимодействий и другие поля, по которым пользователя можно идентифицировать. В меньшей, но куда более опасной части баз встречались пароли и auth-токены. Исследователи также считают, что в очень небольшом фрагменте выборки могли быть данные банковских карт. Это не значит, что каждая база превращалась в полный дамп платежной системы, но для владельцев таких приложений разница невелика: регулятор, клиент и злоумышленник обычно не восхищаются тонкостями архитектуры.
Примеры показывают, насколько разными были пострадавшие проекты. У американского valet-сервиса наружу попали более 100 тысяч клиентских записей с контактами, номерами автомобилей и историей визитов. У канадского иммиграционного сервиса исследователи нашли почти 5 тысяч пользовательских записей, включая 884 пароля в открытом виде. На индийской платформе для взрослых авторов, по данным UpGuard, были доступны чувствительные идентификационные данные, платежные аккаунты и более 100 тысяч приватных сообщений. Филиппинский OTP-сервис раскрыл данные более чем 2 тысяч пользователей и около 100 тысяч SMS, включая сообщения, которые выглядели как обычная личная переписка. У консульского учреждения в Африке нашлись записи 25 тысяч человек, включая адреса и сведения об экстренном размещении.
Supabase сам по себе здесь не выглядит как взломанная платформа. Это open source-сервис вокруг PostgreSQL, который дает разработчикам базу, API, аутентификацию и другие backend-компоненты без долгой сборки инфраструктуры с нуля. Проблема, судя по описанию UpGuard, в прикладной конфигурации: отсутствующие или неработающие политики row-level security, неправильное понимание публичных ключей, слишком широкий доступ к таблицам. Иначе говоря, дверь не выбили — ее часто просто оставили открытой, потому что в прототипе все работало, а потом прототип внезапно стал продуктом.
Отдельный нерв этой истории — AI-assisted development. Supabase стал популярен у команд и одиночных разработчиков, которые собирают приложения с помощью генераторов кода и AI-агентов; в материале говорится, что на такие сценарии приходится более 60% новых баз. UpGuard связывает общий паттерн с тем, что сайты часто создаются AI coding agents, а люди, которые запускают бизнес, не всегда понимают настройки базы данных. Важная оговорка: исследователи не утверждают, что каждый найденный сервис был собран искусственным интеллектом. Но тренд понятен: инструмент пишет код быстрее, чем команда успевает построить процесс ревью безопасности.
Для русскоязычных команд вывод здесь максимально прикладной. Если вы используете Supabase или похожий backend-as-a-service, надо проверить не только переменные окружения и секреты, но и реальные права чтения через публичный API. Row-level security должна быть включена там, где пользователь видит только свои записи, а anon key не должен превращаться в мастер-ключ ко всей клиентской базе. Отдельно стоит пройтись по таблицам с users, profiles, messages, orders, payments, tokens и logs: именно они чаще всего превращают обычную ошибку доступа в юридическую и репутационную головную боль.
Утечка Supabase еще раз показывает слабое место вайбкодинга и быстрых MVP: AI может сгенерировать рабочий интерфейс, SQL-схему и API за вечер, но не несет ответственность перед клиентами и регулятором. Следующий этап рынка, похоже, будет не про то, кто быстрее поднимет приложение, а про то, кто научится автоматически проверять права доступа, секреты и политики безопасности до первого реального пользователя.