تصور کنید تمام اطلاعات مشتریان خود، از شماره تلفن گرفته تا کلمات عبور، دقیقاً در دسترس اولین فردی باشد که دیتابیس شما را در اینترنت جستجو می‌کند. این سناریو برای هزاران توسعه‌دهنده‌ای که از Supabase استفاده می‌کنند، واقعیت تلخی است که تازه فاش شده است. شرکت امنیت سایبری UpGuard اخیراً اعلام کرد که هزاران دیتابیس میزبان در این پلتفرم، اطلاعات حساس افراد را بدون هیچ نوع محافظتی در فضای عمومی وب قرار داده‌اند.
مقیاس بحرانی نشت اطلاعات در Supabase
بر اساس یافته‌های UpGuard، حدود ۱۶,۰۰۰ دیتابیس وجود دارد که در آن‌ها سطحی از داده‌های شخصی، از نام‌ها و نشانی‌ها تا کدهای احراز هویت، در معرض دید عموم قرار گرفته است. این پلتفرم که در سال‌های اخیر با حمایت از توسعه‌دهندگان در ساخت اپلیکیشن‌های «Vibe-coded» (ساخته‌شده با ابزارهای هوش مصنوعی) به ارزش‌گذاری ۱۰ میلیارد دلاری رسیده است، اکنون با انتقادات فزاینده‌ای در زمینه مدیریت ایمنی کاربران مواجه است.
چرا اپلیکیشن‌های هوش مصنوعی به تهدیدی امنیتی تبدیل شده‌اند؟
جدا از خطاهای انسانی، موج رو به رشد اپلیکیشن‌های ساخته‌شده با ابزارهای هوش مصنوعی، چالش‌های امنیتی جدیدی ایجاد کرده است. کدهایی که توسط AI تولید می‌شوند، گاهی اوقات حاوی نقص‌های امنیتی اساسی هستند یا نیازمند پیکربندی‌های خاصی می‌باشند که توسعه‌دهندگان مبتدی آن‌ها را نمی‌شناسند. این «ساده‌انگاری» در پیکربندی اولیه، بستر را برای نشت داده‌های با حجم بالا آماده می‌کند. موارد مشابهی در گذشته با سرورهای ذخیره‌سازی و وب‌سایت‌های دولتی رخ داده است که منجر به افشای پرونده‌های مهاجرتی، اسکن گواهینامه‌های رانندگی و حتی مکاتبات نظامی شده بود؛ اکنون نوبت به اشتباهات رایج در Supabase رسیده است.
خوابی‌های جالب و ناخوشایند از دیتابیس‌های لو رفته
تحقیق UpGuard فقط به لیست کردن نام‌ها و آدرس‌ها ختم نشده است. این شرکت نمونه‌های شگفت‌انگیزی از داده‌های لو رفته را کشف کرده است که نشان‌دهنده تنوع و خطر این نشت است:
- ارتباطات خصوصی: دیتابیس یک وب‌سایت استریمینگ بزرگسال هندی که شامل گفتگوهای خصوصی با کارگران جنسی بود.
- اطلاعات خودروها: هزاران پلاک خودرو متعلق به یک سرویس پارک‌کنندگی (Walet) در ایالات متحده.
- مشتریان خدمات مهاجرتی: اطلاعات تماس افرادی که از یک خدمات مهاجرت و انتقال مسکن استفاده کرده بودند.
- نهادهای دولتی: دیتابیس متعلق به کنسولگری یک کشور آفریقایی مستقر در فرانسه.
- تحت اختیار کلاهکاران: سیستمی برای متوقف کردن پیامک‌ها توسط یک «مزرعه SIM مجازی» که برای ارسال کدهای یک‌بار مصرف جهت حمله‌های فیشینگ و کلاهبرداری استفاده می‌شد.
اگرچه اکثریت این داده‌های لو رفته به پروژه‌های ایالات متحده مرتبط هستند، اما UpGuard تأکید می‌کند که این مشکل یک بحران جهانی است و مرزهای جغرافیایی ندارد. این یافته‌ها بر تحقیقات قبلی که دیتابیس‌های لو رفته استارتاپ‌های Y Combinator را شناسایی کرده بودند، می‌افزایند.
پاسخ Supabase: امنیت یک مسئولیت مشترک است
در پاسخ به این خبرها، Bill Harmer، مسئول信息安全 (CISO) Supabase، اظهار داشت که اگرچه شرکت هنوز گزارش کامل را دریافت نکرده، اما پروژه‌های آن‌ها به صورت پیش‌فرض «امن» طراحی شده‌اند. او تأکید کرد که ایمنی یک مسئولیت دوطرفه است: Supabase ابزارها و پیش‌فرض‌های امن را فراهم می‌کند، اما نحوه پیکربندی نهایی پروژه در اختیار مشتری است. این شرکت همچنین اعلام کرده است که در صورت شناسایی مشکلات امنیتی، مشتریان آسیب دیده را مطلع خواهد کرد.
Greg Pollock، محقق امنیتی در UpGuard، معتقد است که انجام چنین تحقیقاتی برای افزایش آگاهی توسعه‌دهندگان درباره خطر فاش شدن داده‌ها حیاتی است. این هشدار باید برای هر کسی که از Supabase برای ذخیره داده‌های حساس استفاده می‌کند، زنگ خطری باشد تا پیش از شروع پروژه، از پیکربندی صحیح و ایمن بودن دیتابیس خود اطمینان حاصل کند.
نظر، سوال یا تجربه خود را درباره این مطلب با سایر کاربران اوکالا به اشتراک بگذارید.