Studie UpGuard odhalila 16,326 databází Supabase vystavujících čitelné tabulky

UpGuard 25. září 2026 publikoval výzkum identifikující 16,326 databází hostovaných na platformě Supabase, které vystavují čitelné tabulky veřejnému webu, což bezpečnostní firma popisuje jako největší studii svého druhu.

Studii napsal Greg Pollock, ředitel výzkumu a poznatků ve společnosti UpGuard. Zpráva uvádí, že více než polovina vystavených databází vykazovala známky některých osobně identifikovatelných informací, menší procento obsahovalo hesla nebo autentizační tokeny a velmi malé množství obsahovalo pravděpodobná data o kreditních kartách. Častěji výzkumníci našli známky toho, že web používá platební systém, což podle zprávy samo o sobě není citlivé, ale označuje případy, kdy by útočníci mohli zasáhnout do finančních transakcí.

Supabase nabízí hostované databáze Postgres jako službu a podle zprávy se stala klíčovou součástí webových aplikací vytvářených pomocí AI‑asistovaného „vibe coding“. UpGuard uvádí, že Supabase dosáhla ocenění $10 miliard k červnu 2026 a charakterizuje ji jako databázový produkt, který nejvíce doporučuje Claude Code. V případech, kdy byla zjištěna významná expozice, UpGuard uvedl, že informoval vlastníky aplikací.

Metodologie výzkumu

Místo katalogizace aplikací nesoucích vodotisky platforem vibe-coding, jako jsou Lovable a Replit, výzkumníci hledali samostatné webové stránky provozované na vlastních primárních doménách. Zpráva uvádí, že tento přístup byl zamýšlen k zachycení stránek vytvořených pomocí AI programovacích agentů, jako jsou Claude Code a OpenAI Codex, a také stránek fungujících jako skutečné podniky sbírající data o zákaznících.

Podle zprávy lze stránky používající Supabase identifikovat hledáním názvů klíčů Supabase a adres databází ve veřejných souborech JavaScript. Dva datové zdroje, které se ukázaly jako nejužitečnější, byly BuiltWith, který provádí technografické otisky napříč webem, a dataset Chrome UX Report v BigQuery, který poskytuje surové soubory JavaScript, jež lze dotazovat na indikátory Supabase, jako jsou adresy databází a API klíče.

Pomocí těchto dvou metod tým shromáždil přibližně 300,000 unikátních domén s indikátory používání Supabase a dotazoval každou na tabulku “users”, s odůvodněním, že “users” je běžný název tabulky. Každá databáze vrátila jednu ze tří odpovědí: žádná přístupná data; žádná tabulka “users”, ale nápověda s názvem přístupné tabulky; nebo stránku výsledků. Vzhledem k velikosti kandidátní sady výzkumníci použili schémata tabulek k posouzení typů potenciálně vystavených dat místo čtení každého řádku a pomocí AI modelu prohledali obsah úvodní stránky, přičemž klasifikovali každý obchodní model jako B2B, B2C, hybridní nebo N/A.

Zdokumentované úniky dat

Aby ověřili, že vystavená schémata obsahují skutečná data, výzkumníci prozkoumali podmnožinu databází, kde metadata naznačovala pravděpodobnost významného úniku. Zpráva podrobně popisuje několik případů.

Jedna z vystavených databází byla spojena se službou jednorázových přístupových kódů na Filipínách, která byla propojena s farmou SIM karet, operací, kterou zpráva popisuje jako součást řetězce dodávek kyberkriminality, kde se velké objemy telefonních SIM karet používají k registraci falešných účtů na různých platformách. Databáze obsahovala více než 2,000 uživatelů s e‑mailovými adresami, telefonními čísly a zůstatky v peněženkách, plus více než 100,000 SMS zpráv obsahujících jednorázové kódy, ID odesílatelů a kódy SIM.

Podle zprávy bylo 95 % zpráv tvořeno kódy, zatímco 2,000 až 2,400 zpráv ze vzorku tvořily skutečné zprávy mezi lidmi, téměř výhradně komunikaci v rámci sdílení jízd mezi řidiči a pasažéry na Filipínách. Zpráva uvádí, že tito lidé se zdají být nesouvisející s farmou SIM a byli vystaveni kvůli obrovskému objemu telefonních čísel, která touto farmou procházejí.

Další databáze patřila službě parkování vozidel obsluhou se sídlem v severovýchodních USA, která používala Supabase jako backend svého CRM. Zpřístupnila údaje o více než 100,000 zákaznících, u každého s telefonním číslem, u přibližně 43,000 s e‑mailovou adresou a úplným jménem a u přibližně 78,000 s registrační značkou. Součástí údajů byla také historie návštěv každého zákazníka, jeho celoživotní hodnota, historie spropitného a volné textové pole pro poznámky. Tabulka zaměstnanců obsahovala 665 záznamů zaměstnanců s e‑mailovými adresami, telefonními čísly a push tokeny. Přibližně 11 % exponovaných e‑mailových adres (4,560) bylo na firemních doménách třetích stran, včetně identifikovatelných regionálních zaměstnavatelů, jako jsou univerzity a společnosti ze seznamu Fortune 500, uvádí zpráva.

Třetí špatně nakonfigurovaná databáze obsahovala 25,000 uživatelů s osobními údaji a fyzickými adresami pro konzulát provozovaný africkou národní vládou, včetně pole identifikujícího místo nouzového ubytování, kde jednotlivci aktuálně přebývají. UpGuard poznamenává, že povaha této operace znamená, že exponovaní lidé patří k zranitelné populaci.

Čtvrtá databáze, určená pro službu poskytující poradenství při přestěhování a imigraci pro osoby přestěhující se do Kanady, obsahovala téměř 5,000 uživatelských záznamů. Téměř všechny obsahovaly úplná jména, e‑mailové adresy, telefonní čísla a data narození a 884 záznamů také uchovávalo heslo v prostém textu, podle zprávy.

Předchozí výzkum a vzorce expozic

V březnu 2025 vývojář Matt Turner nahlásil rozsáhlé nesprávné nastavení databází Supabase vytvořených platformou vibe-coding Lovable, problém evidovaný jako CVE‑2025‑48757. Od té doby Supabase ve výchozím nastavení zapnulo zabezpečení na úrovni řádků pro tabulky vytvořené v rozhraní Table Editor, uvádí zpráva. Tabulky vytvořené programově přes API, což je způsob, jakým kódovací agenti komunikují se Supabase, tuto ochranu ve výchozím nastavení neaktivují a zabezpečení na úrovni řádků musí být také nakonfigurováno a je nutné správně používat přihlašovací údaje, aby byla data chráněna.

Studie uvádí několik dřívějších, menších zkoušek stejného vektoru expozice. Modern Pentest skenoval 107 startupů z Y Combinator a zjistil, že 28 % z nich vystavovalo osobní informace. Symbiotic Security skenoval 1 072 aplikací kódovaných pomocí vibe a našel 39 s tabulkami čitelnými pomocí veřejného klíče Supabase. Escape objevil 175 databází zpřístupňujících osobní informace napříč přibližně 1 400 aplikacemi kódovanými pomocí vibe. Red Access skenoval 380 000 URL a našel 5 000 přístupných aplikací, z nichž 2 000 vystavovalo citlivá firemní, provozní nebo osobní data. V únoru 2026 společnost Wiz zjistila, že databáze Supabase za platformou Moltbook, sociální sítí pro AI agenty, zpřístupňovala 35 000 e‑mailových adres a 1,5 milionu tokenů pro autentizaci API.

Podle zprávy se tyto nesprávné konfigurace vyskytují po celém světě, nikoli jen v jedné oblasti, ačkoliv závažnost není jednotná: evropské zákony o ochraně dat obvykle podporují lepší postupy, zatímco rozvojové regiony mají častěji úniky dat. Podle odvětví nejpravděpodobněji zpracovávaly e‑commerce a restaurační weby osobní informace a integrované platební systémy, zatímco nelicencované online sázkové stránky častěji zpřístupňovaly hesla a další přihlašovací údaje. Zda web propagoval spotřebitelskou nebo podnikatelskou službu, nemělo vliv na typy dat, které pravděpodobně unikají, uvádí zpráva.

UpGuard dospívá k závěru, že úniky dat jsou násobkem snadnosti nesprávné konfigurace technologie a velikosti její uživatelské základny, a že dopady se projeví po celém světě, ve všech odvětvích i obchodních modelech, když lidé nebo jejich AI kódovací agenti nepochopí, jak správně implementovat bezpečnou konfiguraci.