La firma de ciberseguridad UpGuard ha descubierto más de 16.000 bases de datos alojadas en la plataforma Supabase que contienen información personal de usuarios a nivel global, desde nombres y direcciones hasta contraseñas y mensajes privados. Este hallazgo pone en evidencia una grave vulnerabilidad en la configuración de seguridad de muchos proyectos.
El estudio, realizado por el equipo de investigación de UpGuard, analizó cerca de 300.000 dominios con indicios de utilizar Supabase, una plataforma de bases de datos Postgres en la nube que se ha vuelto popular entre desarrolladores que usan asistentes de inteligencia artificial para programar. De ese universo, los investigadores identificaron 16.326 bases de datos con tablas accesibles públicamente. Más de la mitad contenía algún tipo de dato personal, y una porción menor incluía contraseñas o tokens de autenticación.
Casos concretos de exposición
Entre los ejemplos documentados por UpGuard se encuentran:
- Un sitio de contenido para adultos en India con 65.467 usuarios, cuyos registros incluían pasaportes, licencias de conducir, números de documento y más de 100.000 mensajes privados intercambiados con creadores de contenido.
- Un servicio de valet parking en el noreste de Estados Unidos con datos de más de 100.000 clientes, incluyendo patentes de autos, historial de propinas y notas de texto libre sobre cada persona.
- Un consulado de un gobierno africano en Francia con 25.000 registros de una población vulnerable, que detallaba incluso la vivienda de emergencia donde residía cada persona.
- Una granja de SIM virtuales en Filipinas utilizada para interceptar códigos de verificación y cometer fraudes, que contenía más de 100.000 mensajes de texto, incluyendo comunicaciones reales entre choferes y pasajeros de aplicaciones de transporte.
Un problema conocido desde 2025
El vector de exposición no es nuevo. En marzo del año pasado, el desarrollador Matt Turner reportó un problema de configuración generalizada identificado como CVE-2025-48757 en bases de datos creadas a través de la plataforma de programación asistida Lovable. Estas bases carecían de controles para impedir que cualquier usuario consultara la información.
Desde entonces, Supabase implementó por defecto un mecanismo de seguridad a nivel de fila para las tablas creadas desde su interfaz visual. Sin embargo, según el informe de UpGuard, las tablas creadas de forma programática a través de la API —que es como interactúan los asistentes de inteligencia artificial con la plataforma— no activan esa protección de forma automática.
Supabase alcanzó este año una valuación de USD 10.000 millones, impulsada por el crecimiento de desarrolladores que programan aplicaciones con asistencia de IA y las alojan en su plataforma, según informó la propia empresa en junio.
Respuesta de la empresa
Consultado por TechCrunch, el director de seguridad de la información de Supabase, Bil Harmer, indicó que la compañía no había tenido acceso a la investigación de UpGuard, pero que sus proyectos son “seguros por defecto”. Harmer describió la seguridad como una responsabilidad compartida entre la empresa y sus clientes.
“Ofrecemos configuraciones predeterminadas seguras y herramientas, y los clientes controlan cómo configuran sus propios proyectos”, afirmó el ejecutivo, quien agregó que la compañía notifica a los clientes afectados cuando detecta problemas de seguridad.
El director de investigación de UpGuard, Greg Pollock, sostuvo que el estudio de su equipo resulta relevante para generar conciencia sobre el problema de las exposiciones de datos.
El informe de UpGuard también señala que estudios previos ya habían detectado el patrón: uno escaneó 107 startups del programa de aceleración Y Combinator y encontró que el 28% exponía información personal identificable; otro relevó 1.072 aplicaciones programadas con asistencia de IA y halló 39 con tablas legibles mediante la clave pública de Supabase.
Fuente: Infobae