Die Cybersicherheitsfirma UpGuard hat auf der Entwicklungsplattform Supabase massive Sicherheitslücken festgestellt. Ihre jüngsten Untersuchungen zeigen, dass etwa 16.000 von Supabase gehostete Datenbanken sensible persönliche Informationen öffentlich zugänglich machen. Supabase, eine Plattform, die Web- und App-Entwicklern das Speichern und Betreiben ihrer Datenbanken ermöglicht, erreichte Anfang des Jahres eine Bewertung von 10 Milliarden US-Dollar.
Umfang und Art der exponierten Daten
UpGuard zufolge sind in den betroffenen Datenbanken vielfältige persönliche Daten exponiert. Dazu gehören Namen, Adressen, Telefonnummern und Nutzerpasswörter, wobei die Anzahl der Passwörter und Authentifizierungstoken geringer ausfiel. Die Forschungsergebnisse legen offen, dass diese Daten aus unterschiedlichsten Projekten stammen. Beispiele hierfür sind private Konversationen auf einer indischen Erotik-Streaming-Website, tausende Kennzeichen eines US-amerikanischen Valet-Services sowie Kontaktinformationen von Nutzern eines Einwanderungs- und Umzugsdienstes. Eine der Datenbanken gehörte einem afrikanischen Konsulat in Frankreich, eine andere wurde von einer virtuellen SIM-Farm genutzt, um SMS-Nachrichten zum Empfang von Einmalpasswörtern abzufangen, die typischerweise für Betrugs- und Phishing-Angriffe verwendet werden.
Obwohl die Mehrheit der entdeckten Datensätze in den Vereinigten Staaten lokalisiert zu sein scheint, betont UpGuard, dass es sich um ein weltweites Problem handelt. Diese neuen Erkenntnisse bestätigen frühere Untersuchungen, die ebenfalls exponierte Datenbanken auf Supabase, darunter von Start-ups und bekannten Apps, gefunden hatten.
Ursachen und die Rolle von KI-generierten Anwendungen
Die Datenlecks sind primär auf Fehlkonfigurationen und unsachgemäße Sicherheitseinstellungen zurückzuführen. Die Untersuchung hebt hervor, wie schnell entwickelte, oft „vibe-coded“ oder KI-generierte Anwendungen sensible Nutzerdaten offenlegen können, wenn sie nicht korrekt konfiguriert oder abgesichert sind. Obwohl KI-Tools die Erstellung von Websites und Anwendungen vereinfachen, kann der generierte Code Sicherheitslücken enthalten oder erfordert spezifische Konfigurationen, die Entwicklern möglicherweise unbekannt sind. Dies befeuert eine neue Welle von Datenlecks, da Supabase zunehmend zum Speichern von Daten für solche Projekte genutzt wird.
Supabase reagiert auf die Vorwürfe
Bil Harmer, Chief Information Security Officer (CISO) von Supabase, äußerte sich zu den Vorfällen. Er erklärte, dass das Unternehmen die spezifische Untersuchung von UpGuard zwar noch nicht geprüft habe, aber seine Projekte grundsätzlich „standardmäßig sicher“ seien. Harmer betonte, dass Sicherheit eine geteilte Verantwortung zwischen Supabase und seinen Kunden sei. „Wir stellen sichere Standardeinstellungen und Tools bereit, und Kunden kontrollieren, wie ihre eigenen Projekte konfiguriert werden“, so Harmer. Bei entdeckten Sicherheitsproblemen würden betroffene Kunden benachrichtigt. Er fügte hinzu: „Sicherheit bei Supabase ist nie abgeschlossen. Es ist uns ein großes Anliegen, dies richtig zu machen, und wir werden es für jeden Entwickler einfacher machen, sicher zu veröffentlichen.“
Greg Pollock, Sicherheitsforscher bei UpGuard, unterstrich die Bedeutung der Studie für die Sensibilisierung bezüglich des Problems der Datenexposition.
Thema: Technologie / KI allgemein. Quelle/Inspiration: TechCrunch.