Supabase alcanza los 10.000 millones de dólares y los investigadores acaban de contar 16.326 bases de datos alojadas al alcance de cualquiera

Dieciséis mil puertas, un solo casero

En Filipinas, una granja de tarjetas SIM montada para interceptar códigos de un solo uso funcionaba sobre una base de datos de Supabase que cualquiera podía consultar. Albergaba más de 100.000 mensajes de texto, el 95 % de ellos códigos de un solo uso, además de unos pocos miles de conversaciones corrientes de viajes compartidos entre conductores y pasajeros que no tenían nada que ver con el fraude ². Ese proyecto es una de las 16.326 bases de datos alojadas en Supabase en las que UpGuard encontró tablas legibles desde la web pública, en lo que la firma considera el mayor estudio de su tipo↗ ^{1 2}.

La ronda que trajo las filtraciones

El recuento llega tres meses después de que Supabase cerrara una serie F de 500 millones de dólares↗ a una valoración pre-money de 10.000 millones de dólares, liderada por GIC ^{3 4}. El motor de la ronda y el de la filtración son la misma máquina: los lanzamientos de bases de datos crecieron un 600 % en un año, y más del 60 % de las nuevas bases de datos las lanza algún tipo de herramienta de IA ³. Casi 10 millones de desarrolladores construyen ya sobre la plataforma ³.

Seguros por defecto, la factura para otros

El director de seguridad de la información (CISO) Bil Harmer dice que los proyectos de Supabase son «seguros por defecto» y que «los clientes controlan cómo se configuran sus propios proyectos» ¹. La página de seguridad↗ de la compañía traza la misma línea: Supabase asegura la infraestructura; los clientes, las políticas de seguridad a nivel de fila, las claves de API y los controles de acceso ⁵. El pero está en la propia documentación↗ de Supabase, que dice que una tabla sin RLS es «de lectura y de escritura para cualquier rol que tenga un permiso sobre ella», y que las nuevas tablas públicas en proyectos existentes arrancan con todos los privilegios concedidos a los tres roles, incluido el anónimo ⁶. Según la investigación, la configuración por defecto de RLS cubre las tablas creadas en el Table Editor, no las creadas a través de la API, que es como construyen los agentes de programación ². La valoración pone precio a la velocidad; nada en el expediente pone precio a las filtraciones.

Qué guardaban las tablas

Más de la mitad de las bases de datos expuestas presentaban indicadores de datos personales: nombres, direcciones y números de teléfono, y en menor número contraseñas y tokens de autenticación ^{1 2}. Un servicio estadounidense de aparcacoches exponía las matrículas de unos 78.000 clientes; un coach de reubicación para migrantes rumbo a Canadá dejó 884 contraseñas en texto claro entre casi 5.000 registros; y la base de datos de un consulado africano guardaba a 25.000 personas, con un campo para el lugar donde se alojaba a cada una ². Los escaneos anteriores, más pequeños, no hacían más que encontrar lo mismo a una escala cada vez mayor ².

Dos bandos y una factura sin pagar

Supabase puede alegar con razón que las bases de datos mal configuradas existían antes que la inteligencia artificial, que avisa a los clientes afectados cuando surgen problemas y que su postura de seguridad está certificada según SOC 2, HIPAA e ISO 27001 ^{1 5}. UpGuard notificó a los propietarios de las aplicaciones; las personas que figuran en las tablas se quedan fuera de ese circuito, y ninguna cifra del expediente pone precio a lo que su exposición les cuesta ². La propia aritmética de UpGuard enmarca el riesgo: las filtraciones son el producto de la facilidad con que una tecnología se configura mal y del tamaño de su base de usuarios ². Habrá que vigilar el próximo escaneo, porque de él depende si 16.326 fue un pico o un punto de partida.