Дослідження UpGuard виявило 16,326 баз даних Supabase, що відкривають читабельні таблиці

UpGuard 25 вересня 2026 року опублікувала дослідження, у якому ідентифіковано 16,326 баз даних, розміщених на платформі Supabase, що відкривають читабельні таблиці у публічному веб‑просторі, що, за словами компанії, є найбільшим дослідженням свого типу.

Дослідження було підготовлено Грегом Поллоком, директором досліджень і аналітики UpGuard. У ньому повідомляється, що понад половина викритих баз даних містили ознаки певної особисто ідентифікованої інформації, менший відсоток включав паролі або токени автентифікації, а дуже мала кількість містила ймовірні дані кредитних карток. Частіше дослідники виявляли ознаки використання платіжної системи на сайті, що, за даними звіту, не є чутливим саме по собі, але вказує на випадки, коли зловмисники могли б втрутитися у фінансові транзакції.

Supabase пропонує розміщені бази даних Postgres як сервіс і, згідно зі звітом, стала ключовим компонентом веб‑застосунків, створених за допомогою AI‑асистованого «vibe coding». UpGuard зазначає, що вартість Supabase досягла 10 млрд доларів станом на червень 2026 року і характеризує її як продукт баз даних, який найчастіше рекомендує Claude Code. У випадках, коли було виявлено значне викриття, UpGuard повідомив власників застосунків.

Методологія дослідження

Замість того, щоб каталогізувати додатки, що несуть позначки платформ vibe‑coding, таких як Lovable і Replit, дослідники шукали автономні веб‑сайти, що працюють на власних основних доменах. За даними звіту, такий підхід був спрямований на виявлення сайтів, створених за допомогою AI‑агентів кодування, таких як Claude Code та Codex від OpenAI, а також сайтів, що функціонують як реальні бізнеси і збирають дані клієнтів.

Згідно зі звітом, сайти, що використовують Supabase, можна ідентифікувати, шукаючи назви ключів Supabase та адреси баз даних у публічних файлах JavaScript. Двома найціннішими джерелами даних були BuiltWith, який виконує технографічне сканування всього вебу, та набір даних Chrome UX Report у BigQuery, що надає сирі файли JavaScript, які можна опитувати на предмет індикаторів Supabase, таких як адреси баз даних та API‑ключі.

За допомогою цих двох методів команда зібрала приблизно 300 000 унікальних доменів з індикаторами використання Supabase і запитала кожен з них щодо таблиці “users”, виходячи з того, що “users” — поширена назва таблиці. Кожна база даних повернула одну з трьох відповідей: відсутність доступних даних; відсутність таблиці “users”, але підказку з назвою доступної таблиці; або сторінку результатів. Враховуючи розмір набору кандидатів, дослідники використали схеми таблиць для оцінки типів потенційно викритих даних, а не читали кожен рядок, і зібрали вміст головної сторінки за допомогою AI‑моделі, яка класифікувала кожну бізнес‑модель як B2B, B2C, гібридну або N/A.

Документовані витоки даних

Щоб підтвердити, що викриті схеми містять реальні дані, дослідники вивчили підмножину баз даних, у яких метадані вказували на ймовірність значного викриття. У звіті наведено кілька випадків.

Одна з викритих баз даних була пов’язана зі службою одноразових кодів у Філіппінах, що працювала з SIM‑фермою; у звіті ця операція описується як частина ланцюга постачання кіберзлочинності, у якому великі обсяги телефонних SIM‑карт використовуються для реєстрації підроблених облікових записів на різних платформах. База даних містила понад 2 000 користувачів з електронними адресами, номерами телефонів та балансами гаманців, а також понад 100 000 SMS‑повідомлень, що містили одноразові коди, ідентифікатори відправників та коди SIM.

За даними звіту, 95 % повідомлень були кодами, тоді як від 2 000 до 2 400 повідомлень у вибірці були справжніми текстовими повідомленнями між людьми, майже всі — комунікаціями щодо спільних поїздок між водіями та пасажирами у Філіппінах. У звіті зазначається, що ці особи, схоже, не пов’язані з SIM‑фермою і були викриті саме через величезний обсяг телефонних номерів, що проходять через неї.

Інша база даних належала сервісу паркування автомобілів працівниками у північно‑східному регіоні США, який використовував Supabase як бек‑енд своєї CRM‑системи. Вона розкривала понад 100 000 клієнтів, у кожного з яких був номер телефону, близько 43 000 мали електронні адреси та повні імена, а близько 78 000 — номери автомобільних номерних знаків, а також історію візитів кожного клієнта, його сукупну цінність як клієнта за весь час взаємодії із сервісом, історію чайових та поле вільного тексту для нотаток. Таблиця персоналу містила 665 записів співробітників з електронними адресами, номерами телефонів та push‑токенами. Приблизно 11 % викритих електронних адрес (4 560) належали стороннім корпоративним доменам, включаючи впізнаваних регіональних роботодавців, таких як університети та компанії зі списку Fortune 500, згідно зі звітом.

Третя неправильно налаштована база даних містила 25 000 користувачів з особистою інформацією та фізичними адресами для консульства, що керується урядом однієї з африканських країн, включаючи поле, що вказує на місце екстреного розміщення, у якому зараз перебувають особи. UpGuard зазначає, що характер такої операції означає, що викриті люди належать до вразливої групи населення.

Четверта база даних, що належала сервісу, який надає послуги з переселення та імміграційного консультування для людей, що переїжджають до Канади, містила майже 5 000 записів користувачів. Майже всі вони включали повні імена, електронні адреси, номери телефонів та дати народження, а 884 записи також містили пароль у вигляді простого тексту, згідно зі звітом.

Попередні дослідження та моделі викриттів

У березні 2025 року розробник Метт Тернер повідомив про широкомасштабну неправильну конфігурацію баз даних Supabase, створених платформою vibe‑coding Lovable, проблема зареєстрована як CVE‑2025‑48757. З того часу Supabase увімкнув захист на рівні рядків за замовчуванням для таблиць, створених у інтерфейсі Table Editor, повідомляє дослідження. Таблиці, створені програмно через API, яким користуються кодуючі агенти при роботі з Supabase, не отримують захисту за замовчуванням, і захист на рівні рядків також потрібно налаштовувати та правильно використовувати облікові дані для захисту даних.

У дослідженні посилаються на кілька раніше проведених, менш масштабних аналізів того самого вектору витоку. Modern Pentest сканував 107 стартапів Y Combinator і виявив, що 28 % розкривали особисту інформацію. Symbiotic Security сканувала 1 072 додатки, створені за допомогою vibe‑coding, і знайшла 39 додатків із таблицями, доступними для читання за допомогою публічного ключа Supabase. Escape виявив 175 баз даних, які розкривали особисту інформацію у приблизно 1 400 додатках, створених за допомогою vibe‑coding. Red Access сканувала 380 000 URL‑адрес і знайшла 5 000 доступних додатків, з яких 2 000 розкривали конфіденційні корпоративні, операційні або особисті дані. У лютому 2026 року Wiz виявив, що база даних Supabase, що стоїть за Moltbook — соціальною мережею для AI‑агентів, розкривала 35 000 електронних адрес і 1,5 мільйона токенів автентифікації API.

За даними звіту, ці неправильні конфігурації відбуваються по всьому світу, а не лише в одному регіоні, хоча рівень серйозності різниться: закони Європи щодо захисту даних, як правило, сприяють кращим практикам, тоді як у регіонах, що розвиваються, зазвичай спостерігається більше витоків даних. За галузями інтернет‑магазини та сайти ресторанів найімовірніше обробляли особисту інформацію та інтегровані платіжні системи, тоді як неліцензовані сайти онлайн‑ставок частіше розкривали паролі та інші облікові дані. За словами звіту, те, чи рекламував сайт споживчі чи бізнес‑послуги, не впливало на типи даних, які могли бути розкриті.

UpGuard робить висновок, що витоки даних є добутком легкості неправильного налаштування технології та розміру її користувацької бази, і що їхній вплив поширюється по всьому світу, у всіх галузях і у всіх бізнес‑моделях, коли люди або їхні AI‑кодуючі агенти неправильно розуміють, як впроваджувати надійні налаштування безпеки.