Vulnérabilités dans les bases de données Supabase exposent des informations sensibles
Selon de nouvelles recherches menées par la société de cybersécurité UpGuard, des milliers de bases de données hébergées par la plateforme de développement Supabase ont été trouvées en train d’exposer des informations sensibles en ligne. L’étude a révélé qu’environ 16 000 bases de données contenaient divers degrés de données personnelles accessibles au public.
UpGuard a identifié des vulnérabilités significatives au sein du système de Supabase, mettant en lumière un schéma de mauvaise configuration de la part des utilisateurs. Ce problème est devenu de plus en plus préoccupant pour les entreprises qui utilisent Supabase pour stocker leurs bases de données. La plateforme, désormais valorisée à 10 milliards de dollars grâce à l’augmentation de l’intérêt des développeurs, a été confrontée à des critiques croissantes concernant ses protocoles de sécurité des données. Les utilisateurs auraient mal configuré leurs bases, entraînant une exposition substantielle des données, y compris des millions d’enregistrements dans certains cas.
La recherche indique que les violations liées à des applications et sites mal configurés peuvent entraîner de graves violations de la vie privée. Alors que les outils d’IA deviennent plus courants pour le développement d’applications, ceux-ci peuvent accidentellement générer un code non sécurisé qui n’est pas correctement configuré par les développeurs.
Historiquement, une tendance préoccupante s’est dégagée, avec de nombreuses violations de données attribuées à des serveurs et bases de données mal configurés. Ces défaillances ont conduit à des fuites d’informations sensibles, notamment des communications militaires, des demandes d’immigration, des documents gouvernementaux classifiés et des données d’identification personnelle.
Actuellement, une augmentation des outils de développement assistés par IA contribue à une nouvelle vague d’expositions de données, avec de nombreux incidents associés à Supabase alors que son adoption grandit parmi les développeurs. L’enquête d’UpGuard a découvert des données personnelles accessibles publiquement telles que des noms, adresses, numéros de téléphone et mots de passe d’utilisateurs provenant de bases de données stockées. Les résultats comprenaient des exemples explicites, tels que des conversations privées provenant d’un site de streaming pour adultes, des informations sur les plaques d’immatriculation d’un service de voiturier aux États-Unis et des coordonnées d’un service d’immigration.
La majorité des bases de données exposées ont été trouvées aux États-Unis, bien qu’UpGuard souligne qu’il s’agit d’un problème mondial. Des études précédentes ont également mis en évidence des vulnérabilités similaires, identifiant des bases de données exposées provenant de startups réputées et d’applications populaires hébergées sur Supabase.
Au fil des ans, Supabase a pris des mesures pour renforcer la sécurité de sa plateforme, notamment en améliorant l’accès des utilisateurs et les protections des bases de données. Bil Harmer, le responsable de la sécurité des informations de Supabase, a déclaré que bien que l’entreprise n’ait pas examiné les conclusions d’UpGuard, elle maintient que ses projets sont « sécurisés par défaut ». Il a souligné que la sécurité est une responsabilité partagée entre la société et ses utilisateurs, Supabase offrant des paramètres par défaut sécurisés tout en exigeant que les clients configurent correctement leurs projets.
Harmer a réaffirmé l’engagement continu de l’entreprise en matière de sécurité, notant : « La sécurité chez Supabase n’est jamais achevée. Nous tenons beaucoup à bien faire les choses, et nous continuerons à faciliter la tâche à chaque développeur pour expédier en toute sécurité. »
À la lumière de ces conclusions, le chercheur d’UpGuard, Greg Pollock, a souligné l’importance de sensibiliser aux risques d’exposition des données, en insistant sur la nécessité d’une diligence dans la sécurisation des configurations de bases de données.
