UpGuard发现约1.6万个Supabase数据库公开暴露个人数据
安全公司UpGuard称在Supabase平台上发现约1.6万个数据库存在不同程度的个人数据暴露，涉事数据包括姓名、地址、电话和用户密码；Supabase首席信息安全官回应称平台项目默认安全，安全是公司与客户的共同责任。
AI解读：这件事的核心不是Supabase被黑，而是大量开发者把数据库配错了权限，让人人可读。UpGuard在Supabase上扫出约1.6万个数据库有个人数据暴露，这对用Supabase存用户数据的开发者是直接提醒：默认配置不等于你部署后的实际状态。
受影响最具体的是那些用AI“氛围编程”快速搭应用的人。代码能跑、页面能开，不代表数据库没对公网敞开；生成式工具往往不会主动提醒你检查行级权限和API访问策略，而这类错误一旦发生，暴露的可能是整张表。
UpGuard提到暴露内容包含姓名、地址、电话号码和用户密码，但密码和认证令牌数量相对较少。对普通用户来说，这意味着你注册过的小众App可能已经把联系方式泄出去了；对企业来说，真正需要做的是核对自己项目的公开访问设置，而不是等平台通知。
安全公司UpGuard的研究发现，托管在开发平台Supabase上的约1.6万个数据库向公开网络暴露了不同程度的个人数据。UpGuard告诉TechCrunch，这些数据库中包含可公开访问的姓名、地址、电话号码和用户密码，以及数量较少的密码和认证令牌。
Supabase为网站和App开发者提供数据库存储与运行服务，今年早些时候估值达到100亿美元，部分原因是越来越多开发者把“氛围编程”生成的应用托管在该平台上。该公司此前曾因用户安全处理方式受到批评，已有大量记录显示用户错误配置或不知情地将数据库暴露在更广泛的互联网上，个别案例涉及数百万条记录。
UpGuard表示，其研究旨在了解该平台暴露数据的规模。发现的数据关联到多种项目，包括印度一个成人直播网站上与性工作者的私密对话、美国一家代客泊车服务公司的数千个车牌，以及一个移民和搬迁服务使用者的联系信息。其中一个数据库属于某个非洲国家在法国的领事馆；另一个被用于通过虚拟SIM卡池拦截短信，以发送用于验证在线账户的一次性密码，这类操作通常用于诈骗和钓鱼攻击。
UpGuard称，这些暴露的数据集大多数位于美国，但这是一个全球性问题。该发现建立在更早研究的基础上，此前也发现Supabase上托管的一系列暴露数据库，包括Y Combinator初创公司和其他流行应用使用的数据库。
Supabase首席信息安全官Bil Harmer在回应置评时表示，公司尚未看到这份研究，但其项目“默认是安全的”。他将安全描述为公司与客户之间的共同责任，称“我们提供安全的默认设置和工具，客户控制自己项目的配置方式”，并表示公司发现安全问题时会通知受影响的客户。Harmer说：“Supabase的安全工作永远没有完成。我们非常在意把它做对，也会继续让每位开发者更容易安全地发布。”
UpGuard安全研究员Greg Pollock表示，该公司的研究对于提高人们对数据暴露问题的认识很重要。TechCrunch称，通过其文章中的链接购买商品可能会获得少量佣金，但这不影响编辑独立性。