تقييم Supabase يبلغ 10 مليارات دولار.. وباحثون يحصون 16,326 قاعدة بيانات مستضافة مفتوحة أمام الجميع
أحصت UpGuard 16,326 قاعدة بيانات مستضافة على Supabase تضم جداول قابلة للقراءة من الويب العام، في أول حصر يشمل المنصة بأكملها. وقد بلغ تقييم Supabase 10 مليارات دولار في يونيو مدفوعًا بنمو أطلقته أدوات الذكاء الاصطناعي، فيما تقول الشركة إن منصتها آمنة افتراضيًا وإن ضبط الإعدادات مسؤولية العميل.
Vincent Jiang · 3 min read
16 ألف باب، ومالك واحد
في الفلبين، عملت مزرعة شرائح اتصال (SIM Farm) أُعدت لاعتراض رموز المرور لمرة واحدة على قاعدة بيانات لدى Supabase كان بإمكان أي شخص الاستعلام عنها. واحتوت القاعدة أكثر من 100 ألف رسالة نصية، 95 في المئة منها رموز مرور، إضافة إلى بضعة آلاف من محادثات عادية عبر تطبيق نقل تشاركي بين سائقين وركاب لا صلة لهم بذلك المخطط 2. وهذا المشروع واحد من 16,326 قاعدة بيانات مستضافة على Supabase عثرت UpGuard فيها على جداول قابلة للقراءة من الويب العام، في دراسة تعدّها UpGuard الأكبر من نوعها 1 2.
التسريبات ركبت قطار جولة التمويل
جاء هذا الحصر بعد ثلاثة أشهر من إغلاق Supabase جولة تمويل من الفئة F بقيمة 500 مليون دولار بتقييم قبلي بلغ 10 مليارات دولار، بقيادة GIC 3 4. والآلة التي حرّكت الجولة هي ذاتها التي حرّكت التسريب: سجّل إطلاق قواعد البيانات نموًا بنسبة 600 في المئة خلال عام واحد، ويجري إطلاق أكثر من 60 في المئة من قواعد البيانات الجديدة عبر نوع ما من أدوات الذكاء الاصطناعي 3. ويبني على المنصة اليوم نحو 10 ملايين مطوّر 3.
آمنة افتراضيًا.. والفاتورة على غيرها
يقول كبير مسؤولي أمن المعلومات في Supabase، بيل هارمر، إن مشاريع الشركة «آمنة افتراضيًا» وإن «العملاء يتحكمون في طريقة ضبط إعدادات مشاريعهم» 1. وترسم صفحة الأمان لدى الشركة الخط الفاصل نفسه: Supabase تؤمّن البنية التحتية، أما العملاء فيؤمّنون سياسات أمن مستوى الصفوف ومفاتيح واجهة برمجة التطبيقات وضوابط الوصول 5. غير أن الإشكال يكمن في وثائق Supabase نفسها، التي تقول إن الجدول من دون أمن مستوى الصفوف «قابل للقراءة والكتابة من أي دور له منحة عليه»، وإن الجداول العامة الجديدة على المشاريع القائمة تبدأ بمنح كل الامتيازات للأدوار الثلاثة جميعها، بما في ذلك الدور المجهول 6. وبحسب البحث، فإن الإعداد الافتراضي لأمن مستوى الصفوف يغطي الجداول المنشأة في محرر الجداول، لا تلك المنشأة عبر واجهة برمجة التطبيقات، وهي الوسيلة التي يبني بها وكلاء البرمجة 2. التقييم يسعّر السرعة؛ ولا شيء في السجل يسعّر التسريبات.
ما احتوته الجداول
حمل أكثر من نصف قواعد البيانات المكشوفة مؤشرات على بيانات شخصية: أسماء وعناوين وأرقام هواتف، إضافة إلى كلمات مرور ورموز المصادقة (Authentication Tokens) بأعداد أقل 1 2. فقد انكشفت لدى خدمة أميركية لصف السيارات لوحات سيارات نحو 78,000 عميل؛ وخلّف مدرّب إعادة توطين للمهاجرين المتجهين إلى كندا 884 كلمة مرور بنص صريح (Plaintext) ضمن قرابة 5,000 سجل؛ واحتوت قاعدة بيانات لقنصلية أفريقية على 25,000 شخص، مع حقل يحدد مكان إيواء كل منهم 2. وكانت عمليات المسح السابقة، وهي أصغر نطاقًا، ترصد الشيء نفسه في كل مرة، وبمقياس متزايد 2.
مع كل مسح يرتفع عدد مشاريع Supabase المكشوفة، حتى رصدت UpGuard 16,326 مشروعًا
Data
| Value | |
|---|---|
| Symbiotic Security | 39 |
| Escape | 175 |
| Red Access | 2,000 |
| UpGuard | 16,326 |
معسكران وفاتورة لم تُسدَّد
بوسع Supabase أن ترد ردًّا وجيهًا بأن قواعد البيانات سيئة الإعداد أقدم من الذكاء الاصطناعي، وبأنها تُبلّغ العملاء المتأثرين كلما ظهرت مشكلة، وبأن وضعها الأمني حاصل على اعتماد SOC 2 وHIPAA وISO 27001 1 5. وقد أبلغت UpGuard أصحاب التطبيقات، غير أن الأشخاص الذين تتضمنهم الجداول لم يشملهم هذا الإبلاغ، ولا يوجد في السجل أي رقم يسعّر ما يكلفهم انكشاف بياناتهم 2. وتضع حسابات UpGuard نفسها الخطر في معادلة: فالتسريبات هي حاصل ضرب قابلية التقنية للإعداد الخاطئ في حجم قاعدة مستخدميها 2. راقبوا المسح المقبل، فهو الذي سيحدد ما إذا كان الرقم 16,326 ذروةً أم خط أساس.
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
