Supabase’te binlerce veritabanı kişisel bilgileri açığa çıkardı

Geliştiricilerin uygulama ve web siteleri için kullandığı Supabase platformunda, binlerce veritabanının kişisel bilgileri internete açık bıraktığı belirlendi. Siber güvenlik şirketi UpGuard tarafından yapılan araştırmaya göre yaklaşık 16 bin veritabanında, farklı seviyelerde kişisel veri erişilebilir durumdaydı.

Araştırma, Supabase’in doğrudan saldırıya uğradığını göstermiyor. Bulguların merkezinde, müşterilerin veritabanlarını yanlış yapılandırması veya erişim izinlerini gerektiği gibi sınırlandırmaması bulunuyor. Ancak sonuçlar, özellikle yapay zekâ destekli araçlarla hızlı şekilde geliştirilen uygulamalarda güvenlik ayarlarının ne kadar kritik olduğunu gösteriyor.

İsim, adres ve parolalar internete açıldı

UpGuard’ın incelemesinde kamuya açık hâle gelen veri türleri arasında isimler, adresler ve telefon numaraları yer aldı. Araştırmacılar ayrıca daha az sayıda veritabanında parolalar ile kimlik doğrulama belirteçleri de buldu. Bu tür bilgiler, yalnızca kişisel mahremiyet açısından değil, hesap ele geçirme ve kimlik avı saldırıları bakımından da risk taşıyor.

İncelenen veritabanları farklı sektör ve kullanım alanlarına ait projelerde kullanılıyordu. Örnekler arasında Hindistan’daki bir yetişkin yayın platformunda seks işçileriyle yapılan özel görüşmeler, ABD’deki bir vale hizmetine ait binlerce araç plakası ve göç ile taşınma hizmetlerinden yararlanan kişilerin iletişim bilgileri bulunuyor.

UpGuard, veritabanlarından birinin Fransa’daki bir Afrika ülkesine ait konsolosluk tarafından kullanıldığını belirtti. Başka bir sistem ise çevrim içi hesapların doğrulanması için tek kullanımlık kodlar gönderen sanal SIM altyapısına hizmet ediyordu. Araştırmaya göre bu tür sistemler dolandırıcılık ve kimlik avı kampanyalarında kullanılabiliyor.

Yapay zekâyla geliştirilen uygulamalar riski büyütüyor

Supabase, geliştiricilerin veritabanı oluşturmasına, bu verileri saklamasına ve uygulamalarından çalıştırmasına olanak tanıyor. Platform, son dönemde uygulamalarını yapay zekâ araçlarıyla hızlı biçimde geliştiren kullanıcıların da tercih ettiği hizmetlerden biri hâline geldi. Şirket, bu büyümenin etkisiyle yılın başlarında 10 milyar dolar değerlemeye ulaştı.

Ancak yapay zekâ ile üretilen kodlar her zaman güvenli yapılandırmalar içermeyebiliyor. Uygulamanın çalışması için gerekli izinler, erişim politikaları veya veritabanı kuralları geliştirici tarafından doğru ayarlanmadığında, normalde yalnızca yetkili kullanıcıların görmesi gereken kayıtlar genel internete açılabiliyor.

Bu problem yalnızca Supabase’e özgü değil. Geçmiş yıllarda yanlış yapılandırılmış depolama sunucuları, veritabanları ve web siteleri nedeniyle askeri e-postalar, göç ve vize başvuruları, gizli devlet dosyaları, sürücü belgesi taramaları ve çocuklara ait kişisel bilgiler açığa çıktı. Yapay zekâ destekli hızlı yazılım geliştirme eğilimi ise benzer hataların daha fazla uygulamada tekrarlanmasına yol açabilecek yeni bir risk alanı oluşturuyor.

Supabase: Güvenlik müşterilerle paylaşılan sorumluluk

UpGuard, açık veritabanlarının büyük bölümünün ABD’de bulunduğunu ancak sorunun küresel ölçekte görüldüğünü belirtiyor. Araştırma, daha önce platformda barındırılan bazı girişim ve popüler uygulamalara ait veritabanlarının da yanlış yapılandırıldığını ortaya koyan çalışmaların devamı niteliğinde.

Supabase yıllar içinde platform güvenliğini ve kullanıcıların veritabanlarına erişim yöntemlerini güçlendirecek değişiklikler yaptı. Şirketin Bilgi Güvenliği Direktörü Bil Harmer ise araştırma hakkında henüz bilgi sahibi olmadıklarını, platformun varsayılan olarak güvenli ayarlarla sunulduğunu söyledi.

Harmer’a göre Supabase güvenli varsayılan ayarları ve gerekli araçları sağlıyor; müşteriler ise kendi projelerinin nasıl yapılandırılacağını kontrol ediyor. Şirket, etkilenen müşterilere bildirim gönderdiğini de belirtiyor. Yine de araştırmanın ortaya koyduğu tablo, bulut hizmetlerinde varsayılan ayarlara güvenmenin tek başına yeterli olmadığını gösteriyor. Geliştiricilerin erişim politikalarını, kimlik doğrulama kurallarını ve internete açık uç noktaları düzenli olarak denetlemesi gerekiyor.