Plus de 16 000 bases de données Supabase mal configurées exposent des données, selon UpGuard

Le 28 septembre, BleepingComputer a rapporté une étude de la société de cybersécurité UpGuard : sur environ 300 000 sites utilisant Supabase, plus de 16 000 bases de données laissaient leurs tables lisibles par n’importe qui. Supabase est un service qui fournit la base de données et l’infrastructure technique d’une application ou d’un site ; il est très utilisé avec les outils qui fabriquent des applications à partir de consignes données à une IA, à l’origine de plus de 60 % des bases nouvellement créées. Dans plus de la moitié des bases exposées, les chercheurs ont trouvé des données personnelles, et dans certaines des mots de passe ou des jetons de connexion ; un service de voiturier américain laissait ainsi accessibles plus de 100 000 fiches clients. La cause tient à la configuration des applications : les règles qui limitent ce que chaque utilisateur peut lire (« row-level security », sécurité au niveau des lignes) sont absentes ou inefficaces. UpGuard estime que ces sites sont souvent créés par des agents de codage IA sans que leurs propriétaires connaissent la configuration, tout en précisant ne pas pouvoir l’établir pour chaque cas. Ce que cela change pour vous : si une application, un portail client ou un outil interne a été créé rapidement pour vous avec un outil d’IA, par un salarié, un indépendant ou une agence, demandez s’il repose sur Supabase et faites confirmer par écrit que ces règles d’accès sont activées sur chaque table, car une base exposée contenant des données personnelles peut constituer une violation à notifier à la CNIL.