Supabase à 10 milliards de dollars : les chercheurs viennent de recenser 16 326 bases de données hébergées ouvertes à tous

Seize mille portes, un seul propriétaire

Aux Philippines, une ferme de cartes SIM montée pour intercepter des codes à usage unique tournait sur une base de données Supabase que n'importe qui pouvait interroger. Elle contenait plus de 100 000 SMS, dont 95 % de codes à usage unique, ainsi que quelques milliers de conversations de covoiturage anodines entre chauffeurs et passagers étrangers à l'opération ². Ce projet fait partie des 16 326 bases de données hébergées par Supabase où UpGuard a trouvé des tables lisibles depuis le web public, dans le cadre de ce que le cabinet décrit comme la plus vaste étude du genre↗ ^{1 2}.

La levée de fonds qui a porté les fuites

Ce décompte tombe trois mois après que Supabase a bouclé une série F de 500 millions de dollars↗ pour une valorisation pré-money de 10 milliards de dollars, menée par GIC ^{3 4}. Le moteur du tour de table et celui des fuites sont une seule et même machine : les créations de bases de données ont bondi de 600 % en un an, et plus de 60 % des nouvelles bases sont lancées par une forme quelconque d'outil d'IA ³. Près de 10 millions de développeurs travaillent désormais sur la plateforme ³.

Sécurisé par défaut, facturé à quelqu'un d'autre

Le directeur de la sécurité de l'information Bil Harmer assure que les projets Supabase sont « sécurisés par défaut » et que « la configuration de leurs propres projets relève des clients » ¹. La page sécurité↗ de l'entreprise trace la même frontière : Supabase sécurise l'infrastructure, les clients se chargent des politiques de sécurité au niveau des lignes, des clés d'API et des contrôles d'accès ⁵. Le hic se niche dans la documentation↗ de Supabase elle-même : une table sans RLS y est « lisible et modifiable par tout rôle disposant d'une autorisation », et les nouvelles tables publiques créées sur des projets existants démarrent avec la totalité des privilèges accordés aux trois rôles, y compris l'anonyme ⁶. Selon l'étude, le mécanisme RLS appliqué par défaut couvre les tables créées dans l'éditeur Table Editor, mais pas celles qui passent par l'API — or c'est par ce canal que construisent les agents de programmation ². La valorisation met un prix sur la vitesse ; rien, dans le dossier, ne met de prix sur les fuites.

Ce que contenaient les tables

Plus de la moitié des bases de données exposées présentaient des indicateurs de données personnelles : noms, adresses et numéros de téléphone, ainsi que, en plus petit nombre, des mots de passe et des jetons d'authentification ^{1 2}. Un service de voiturerie américain a exposé les plaques d'immatriculation d'environ 78 000 clients ; un coach en relocalisation pour migrants en route vers le Canada a laissé 884 mots de passe en clair parmi près de 5 000 enregistrements ; la base d'un consulat africain recensait 25 000 personnes, avec un champ précisant où chacune était hébergée ². Les scans antérieurs, plus modestes, avaient toujours fait le même constat — à une échelle chaque fois plus grande ².

Deux camps, une facture impayée

Supabase peut légitimement répondre que les bases de données mal configurées existaient bien avant l'IA, qu'il notifie les clients concernés dès qu'un problème surgit et que sa posture de sécurité est certifiée SOC 2, HIPAA et ISO 27001 ^{1 5}. UpGuard a prévenu les propriétaires des applications ; les personnes figurant dans les tables, elles, ne sont pas dans la boucle, et aucun chiffre du dossier ne met de prix sur ce que leur exposition leur coûte ². La propre arithmétique d'UpGuard cadre le risque : les fuites sont le produit de la facilité avec laquelle une technologie se configure mal et de la taille de sa base d'utilisateurs ². Surveillez le prochain scan : c'est lui qui dira si 16 326 était un pic ou une valeur de référence.