Supabase chega aos US$ 10 bilhões — e pesquisadores contam 16.326 bancos de dados hospedados abertos a qualquer um

Dezesseis mil portas, um só dono

Nas Filipinas, uma fazenda de chips montada para interceptar senhas de uso único rodava em um banco de dados da Supabase que qualquer um podia consultar. Ele guardava mais de 100 mil mensagens de texto, 95% delas senhas de uso único, além de alguns milhares de conversas comuns de aplicativo de transporte entre motoristas e passageiros que nada tinham a ver com o esquema ². O projeto é um dos 16.326 bancos de dados hospedados na Supabase em que a UpGuard encontrou tabelas legíveis pela web aberta, no que a firma chama de o maior estudo do tipo↗ ^{1 2}.

As exposições vieram no bojo da rodada

O levantamento saiu três meses depois de a Supabase fechar uma Série F de US$ 500 milhões↗ com avaliação pré-money de US$ 10 bilhões, liderada pelo GIC ^{3 4}. O motor da rodada e o motor do vazamento são a mesma máquina: os lançamentos de bancos de dados cresceram 600% em um ano, e mais de 60% dos novos bancos são criados por algum tipo de ferramenta de IA ³. Quase 10 milhões de desenvolvedores já constroem sobre a plataforma ³.

Seguro por padrão — e a conta vai para os outros

O diretor de segurança da informação da Supabase, Bil Harmer, diz que os projetos da empresa são "seguros por padrão" e que "os clientes controlam como seus próprios projetos são configurados" ¹. A página de segurança↗ da empresa traça a mesma linha: a Supabase protege a infraestrutura; os clientes cuidam das políticas de segurança em nível de linha, das chaves de API e dos controles de acesso ⁵. O porém está na própria documentação↗ da Supabase, segundo a qual uma tabela sem RLS é "legível e gravável por qualquer papel com privilégio concedido sobre ela" — e novas tabelas públicas em projetos já existentes começam com todos os privilégios concedidos aos três papéis, incluindo o anônimo ⁶. Segundo a pesquisa, o padrão de RLS cobre as tabelas criadas no Table Editor, não as criadas pela API, que é como os agentes de programação constroem ². A avaliação dá preço à velocidade; nada no registro dá preço aos vazamentos.

O que as tabelas guardavam

Mais da metade dos bancos de dados expostos trazia indícios de dados pessoais: nomes, endereços e telefones, além de senhas e tokens de autenticação em menor quantidade ^{1 2}. Um serviço americano de manobristas expôs as placas de cerca de 78 mil clientes; um coach de realocação de migrantes com destino ao Canadá deixou 884 senhas em texto claro entre quase 5 mil registros; o banco de dados de um consulado africano guardava 25 mil pessoas, com um campo indicando onde cada uma estava abrigada ². Varreduras anteriores, menores, vinham encontrando a mesma coisa em escala cada vez maior ².

Dois lados, uma conta que ninguém paga

A Supabase pode, com razão, responder que bancos de dados mal configurados são anteriores à IA, que notifica os clientes afetados quando os problemas vêm à tona e que sua postura de segurança é certificada em SOC 2, HIPAA e ISO 27001 ^{1 5}. A UpGuard notificou os donos das aplicações; as pessoas nas tabelas não entram nesse circuito, e nenhum número no registro dá preço ao que essa exposição lhes custa ². A própria aritmética da UpGuard dimensiona o risco: vazamentos são o produto da facilidade com que uma tecnologia é mal configurada e do tamanho de sua base de usuários ². Fique de olho na próxima varredura, porque é ela que decidirá se os 16.326 foram um pico ou uma linha de base.