Falha no Supabase expõe dados de 16 mil bancos

Autoria: Compilado do Código Fonte TV · Assistir no YouTube

Vídeo de autoria do canal indicado, não da IANIA; todos os direitos pertencem ao criador. Transcrição, resumo e tradução gerados automaticamente; o conteúdo no idioma original é preservado na versão em idioma original.

Idioma original: português

Vídeo original: Falha no Supabase expõe dados de 16 mil bancos · Canal: Compilado do Código Fonte TV · 05:11 · Assistir no YouTube

Tópicos: Cibersegurança e segurança de software, Dados, bancos de dados e embeddings, Engenharia de software com IA

Resumo

Um levantamento da empresa de segurança Upward identificou cerca de 16 mil bancos de dados hospedados no Supabase com informações confidenciais acessíveis publicamente. Segundo a investigação, a exposição não foi causada por uma invasão à infraestrutura central do Supabase, mas por configurações de acesso inadequadas feitas nas aplicações. O vídeo relaciona o problema ao uso de ferramentas de Vibe Coding sem validação suficiente das regras de segurança. Os apresentadores destacam que é importante compreender conceitos básicos de desenvolvimento e segurança antes de colocar essas aplicações no ar.

Pontos-chave

A investigação encontrou cerca de 16 mil bancos de dados com informações confidenciais acessíveis na web.
Entre os dados expostos havia nomes, endereços, telefones, credenciais e tokens de autenticação.
A falha foi atribuída a configurações incorretas nas aplicações, não a uma invasão da infraestrutura central do Supabase.
Aplicações criadas com ferramentas de Vibe Coding podem ser publicadas sem a validação adequada dos controles de acesso.
O Supabase oferece recursos como autenticação, armazenamento e funções que podem ser integrados às aplicações.
Endpoints e funções precisam de autenticação e proteção adequadas para evitar acesso indevido a dados e recursos.
Os apresentadores recomendam conhecer conceitos como frontend, backend, variáveis de ambiente, autenticação, sessões e criptografia.

Capítulos

Início	Capítulo	Resumo
00:02	Dados expostos em bancos hospedados no Supabase	O levantamento da Upward aponta milhares de bancos com informações confidenciais acessíveis publicamente.
01:04	Configurações de acesso e responsabilidade compartilhada	O vídeo explica que a exposição decorreu de erros de configuração nas aplicações e aborda as medidas do Supabase.
02:36	Como o Supabase é usado por ferramentas de Vibe Coding	Os apresentadores comentam os recursos da plataforma e os riscos de publicar aplicações sem revisar a segurança.
04:10	Conhecimentos básicos para reduzir riscos	A conversa recomenda noções de desenvolvimento e segurança antes de criar e colocar aplicações no ar.

Citações

Códigos gerados automaticamente são colocados no ar sem validação das regras de controle de acesso. — 00:33

A segurança é um modelo de responsabilidade compartilhada entre o provedor e quem constrói o software. — 01:35

No mínimo, a pessoa tem que entender frontend, backend, variáveis de ambiente e autenticação. — 04:10

Conceitos e entidades

Supabase (empresa): Plataforma de backend mencionada como serviço utilizado por aplicações criadas com ferramentas de Vibe Coding.
Upward (empresa): Empresa de segurança que realizou o levantamento sobre bancos de dados expostos.
vibe coding (conceito): Forma de criar aplicações com ferramentas de inteligência artificial, discutida no vídeo em relação à validação de segurança.
Bill Harmer (pessoa): Diretor de segurança da informação do Supabase citado na transcrição.
Y Combinator (empresa): Organização citada no vídeo ao mencionar startups entre os ambientes potencialmente afetados.
Firebase (ferramenta): Serviço usado como comparação com o Supabase.
Edge Functions (conceito): Recurso do Supabase citado como exemplo de funções que exigem proteção e autenticação adequadas.

Tradução completa (pt-BR)

00:02 Falha no Supabase expõe dados de 16.000 bancos. >> Já reparou que toda semana, no Compilado, tem algum tipo de notícia assim, né? >> Pô, mas o Supabase é tão utilizado! Achei 16 mil até pouco, cara. 16.000? >> Realmente não foram tantos, mas é coisa pra caramba ao mesmo tempo, né? Um levantamento realizado pela empresa de segurança Upward revelou que cerca de 16.000 bancos de dados hospedados no Supabase estão com informações confidenciais acessíveis publicamente na web. O problema atinge aplicações

00:33 construídas com vibe coding e ferramentas de inteligência artificial. >> Ah, então é isso. >> É isso, viu? Códigos gerados automaticamente são colocados no ar sem validação das regras de controle de acesso ou com permissões abertas por engano. A investigação identificou registros altamente críticos expostos na internet sem autenticação, incluindo nomes completos, endereços residenciais, telefones, credenciais diretas de usuários e tokens de autenticação. Entre os ambientes desprotegidos estavam dados de um consulado africano na França,

01:04 cadastros de serviços de imigração, mensagens interceptadas por fazendas de cartões SIM virtuais e históricos de conversas privadas de plataformas de streaming adulto. Nossa! >> Nossa, tudo isso com vibe coding? >> Tudo isso. Olha só. >> Pois é. A consultoria apontou que o vazamento não decorre de uma invasão estrutural à infraestrutura central do Supabase, mas de erros básicos de configuração cometidos pelos próprios desenvolvedores. Então, ele disse “desenvolvedores” e não disse “ferramentas de vibe coding”. Por quê? Porque quem vai fazer isso é o desenvolvedor.

01:35 >> Ah, mas eu não sou desenvolvedor, só uso a ferramenta. Então você passou a ser… >> A culpa também é sua. Questionado sobre os dados, o diretor de segurança da informação e da plataforma, Bill Harmer, declarou que todos os projetos já nascem com configurações seguras por padrão, descrevendo a segurança como um modelo de responsabilidade compartilhada entre o provedor e quem constrói o software. A companhia reforçou que monitora os ambientes e emite alertas automáticos aos clientes afetados assim que as brechas nas permissões são detectadas. Segundo o Guard, o problema tem alcance

02:06 global e atinge desde aplicações populares até startups da Y Combinator. Hum. Aí, ó. >> É, olha… >> Por que não falaram o nome das startups? Até serviços com milhões de registros estão sem verificação de segurança. >> É, aí não tem jeito. Coitado do Supabase. Vamos combinar, né? Só utilizaram ele da forma incorreta. >> Não? É porque muitas dessas soluções de vibe coding já utilizam o Supabase por padrão, por ter várias soluções legais ali, entendeu? >> É, ele inclui autenticação,

02:36 inclui armazenamento de dados, obviamente, e várias coisas que você consegue colocar ali quase como um plugin, né? Então é fácil, e elas realmente utilizam como padrão. >> E, por ser uma solução equivalente ao Firebase e ser gratuita, obviamente muitas dessas ferramentas a utilizam à vontade, principalmente para rodar o backend. Muitas vezes você usa a solução do Supabase para rodar as funções, sem precisar necessariamente

03:07 ter um ambiente de backend. Então, essas ferramentas de vibe coding geram esse resultado e não fazem uma validação de segurança completa, tá? Por exemplo, a gente já tem até um vídeo no canal mostrando a utilização do Supabase com as Edge Functions, né? >> Uhum. E ali você tem que proteger, porque, dependendo do que estiver criando no endpoint das functions, se não houver uma proteção e uma autenticação adequada, você pode derrubar o servidor, derrubar o

03:38 contêiner que está rodando o Supabase ou até acessar dados que não deveria. Então, muita gente que usa vibe coding e não presta atenção em como funciona o processo, o fluxo de dados ali dentro do Supabase, como é o ecossistema dele, com certeza acaba gerando problemas de segurança. E, como as ferramentas já estão meio que programadas para utilizar essa pilha, dificilmente a pessoa que faz vibe coding e não sabe programar vai pedir uma pilha específica, com

04:10 >> um nível de segurança específico, entendeu? Exatamente. Era o que eu ia falar, né? Eu acabo utilizando o nível de segurança padrão e, pelo que vimos aqui, às vezes não há a limitação correta para os usuários, então acaba ficando tudo muito abrangente, né? >> Eu acho que, no mínimo, no mínimo, no mínimo, para a pessoa começar a usar vibe coding, ela tem que entender os conceitos de frontend, backend e variáveis de ambiente, sabe? E autenticação, um pouquinho de autenticação, sessão e criptografia, pelo menos para saber:

04:40 “Putz, aqui o sistema fez merda”, sabe? Eu vou… >> Verdade. >> Eu vou tentar resolver isso de alguma forma, porque, senão, cara, é isso que a gente vai ver cada vez mais. 16.000, estou achando até pouco. >> É, mas justamente por isso que o problema não foi no Supabase, né? Se fosse nele, provavelmente o número seria maior, mas ele está seguro; as aplicações é que não estão, né? E este aqui é um trecho de uma notícia do Compilado do Código Fonte TV, onde toda semana tem episódio novo falando de programação, tecnologia, inteligência artificial e cibersegurança.

05:11 >> Então já se inscreve aqui no canal do Compilado e acompanha os episódios completos. [música] >> [música] [música]

Transcrição original

[00:02] Falha no Super Base expõe dados de 16.000 bancos. >> Já reparou que toda semana no compilado tem algum tipo de notícia assim, né? >> Pô, mas o Super Base é tão utilizado, eu achei 16 e até pouco, cara. 16000? >> 16.000 realmente não foram tantos, mas é coisa para caramba ao mesmo tempo, né? Um levantamento realizado pela empresa de segurança Upward revelou que cerca de 16.000 1000 bancos de dados hospedados no Supas estão com informações confidenciais acessíveis publicamente na web. O problema atinge aplicações

[00:33] construídas por Vibe Coding e ferramentas de inteligência artificial. >> Ah, então é isso. >> É isso, viu? onde códigos gerados automaticamente são colocados no ar sem validação de regras de controle de acesso ou com permissões abertas por engano. A investigação identificou registros altamente críticos expostos sem autenticação na internet, incluindo nomes completos, endereços residenciais, telefones, credenciais diretas de usuários e tokens de autenticação. Entre os ambientes desprotegidos estavam dados de um consulado africano na França,

[01:04] cadastros de serviço de imigração, mensagens interceptadas por fazendas de Sim cards virtuais e históricos de conversas privadas de plataformas de streaming adulto. Nossa. >> Nossa, tudo isso com vibe coding? >> Tudo isso. Olha só. >> Pois é. A consultoria apontou aí que o vazamento não é decorrente de uma invasão estrutural à infraestrutura central do Supase, mas de erros básicos de configuração cometidos pelos próprios desenvolvedores. Então ele disse desenvolvedores e não disse ferramentas de Vibe Code. Por quê? Porque o desenvolvedor é que vai

[01:35] >> ah, mas eu não sou desenvolvedor, eu só uso a ferramenta. Então você passou a ser >> a culpa é sua também. Questionado sobre os dados do diretor de segurança da informação e da plataforma, Bill Harmer, declarou que todos os projetos já nascem com configurações seguras por padrão, escrevendo a segurança como um modelo de responsabilidade compartilhada entre o provedor e quem constrói o software. A companhia reforçou que monitora os ambientes e emite alertas automáticos aos clientes afetados assim que as brechas de permissões são detectadas. Segundo o Guard, o problema tem alcance

[02:06] global e atinge desde aplicações populares e startups da Y Combinator. Hum. Aí, ó. >> É, ol. >> Por que que não falou com o nome das startups? Até serviços com milhões de registros sem verificação de segurança. >> É, aí não tem jeito. Coitado Supas. Vamos combinar, né? Só utilizaram ele da forma incorreta, >> não? É porque muitas dessas soluções de vibe coding elas já utilizam o Supo por padrão por ter por ter várias soluções ali legais, entendeu? >> É, ele inclui autenticação,

[02:36] inclui a ao obviamente armazenamento de dados e várias coisas que você consegue colocar ali de uma forma quase que como um plugin ali, né? Então é é fácil e elas utilizam mesmo como padrão. >> E por ser uma solução equivalente ao Fari Base e por ser free, obviamente muitas dessas ferramentas utilizam e de forma assim, pô, a à vontade, principalmente para rodar back end. Muitas vezes você usa a solução do Supase para rodar as funções, as suas funções, sem precisar necessariamente

[03:07] ter um ambiente de back endão. Então, essas ferramentas de vibe coding geram esse resultado e eles não fazem uma validação de segurança por completo, tá? Então, por exemplo, a gente já até tem vídeo mostrando no canal utilização do Supase, utilizando as ed functions, né? >> Uhum. E ali você tem que proteger, porque dependendo do que você tiver criando no seu end point lá da das functions, se não tiver uma proteção, uma autenticação adequada, você pode derrubar o servidor, derrubar o

[03:38] contêiner, né, que tá ali rodando o Supas ou até acessar dados que não deveriam. Então, muita gente que usa vibe coding e não se atenta o como eh funciona o processo, o fluxo de dados ali dentro do Supabase, como é que é o ecossistema dele, com certeza isso gera problemas de segurança. E e é e como é as ferramentas já estão meio que programadas para utilizar essa essa stack, dificilmente a pessoa que faz o vib code e não sabe programar vai pedir para uma stack específica, para um

[04:10] >> um nível de segurança específico, entendeu? Exatamente. Era o que eu ia falar, né? Eu acabo utilizando o nível de segurança padrão e pelo que nós vimos aqui, às vezes tem ali uma não tem a limitação correta pros usuários, então acaba ficando tudo muito abrangente, né? >> Eu acho que no mínimo, no mínimo, no mínimo pra pessoa começar a usar Vibe Code, ela tem que entender o conceito de front end, back end, variáveis de ambiente, sabe? E autenticação, um pouquinho de autenticação, sessão, criptografia, pelo menos para ela saber,

[04:40] putz, aqui o sistema fez merda, sabe? Eu vou, >> verdade. >> Eu vou, eu vou tentar resolver isso de alguma forma, porque senão, cara, é isso para mais que a gente vai ver. 16.000, tô achando até pouco. >> É, mas justamente por isso que o problema não foi no Supas, né? Se fosse nele, provavelmente o número seria maior, mas ele tá seguro, as aplicações é que não estão, né? E esse aqui é um corte de uma notícia do compilado do Código Fonte TV, >> onde toda semana tem episódio novo falando de programação, tecnologia, inteligência artificial e cybersegurança.

[05:11] >> Então já se inscreve aqui no canal do Compilado e acompanha os episódios completos. [música] >> [música] [música]