Circa 16.000 database Supabase espongono dati personali sul web

UpGuard ha identificato “circa 16.000” database ospitati su Supabase pubblicamente accessibili con “some degree” di dati personali esposti, mentre erano attivi sulla piattaforma¹. L’azienda parla di un problema ampio, non di pochi casi isolati¹.

La causa non è una vulnerabilità specifica. È la configurazione: impostazioni permissive e controlli deboli che lasciano consultabili dati che dovrebbero restare privati¹. In alcuni casi documentati, singole istanze hanno esposto milioni di record in una volta sola¹.

Supabase è una piattaforma usata dagli sviluppatori per archiviare ed eseguire database. UpGuard collega le esposizioni al modo in cui gli utenti impostano l’accesso ai dati: chi può leggere, con quali chiavi, da quali contesti¹. Il numero — circa 16.000 database coinvolti — indica che l’errore non riguarda un settore o un singolo cliente, ma migliaia di istanze su una piattaforma diffusa¹.

L’elemento umano pesa. La corsa a rilasciare applicazioni in fretta aumenta il rischio di saltare passaggi minimi di sicurezza. Se i default non sono restrittivi, o se chi configura non limita l’accesso con precisione, il risultato è un database raggiungibile dall’esterno senza barriere¹. Non serve un exploit avanzato quando le impostazioni aprono porte che dovrebbero restare chiuse¹. Anche le app “vibe-coded” citate nell’articolo mostrano come iterazioni rapide, senza un controllo puntuale dei permessi, moltiplichino le superfici di errore¹.

La lezione è operativa. Serve partire da default stretti e concedere privilegi solo quando necessario. Serve verificare dall’esterno ciò che si dà per scontato dall’ambiente di sviluppo: endpoint esposti, ruoli effettivi, token in uso. Bastano pochi clic sbagliati per trasformare un’istanza in una vetrina pubblica, come mostrano i casi riportati a TechCrunch¹.

Il perimetro non è tecnico in senso stretto. È organizzativo. Quando team diversi condividono ambienti e chiavi, l’assenza di confini chiari rende più probabile una configurazione eccessivamente aperta. Il dato di UpGuard — “circa 16.000” database con dati personali esposti — impone una revisione sistematica dei permessi: tabelle, viste, politiche di riga, API¹.

Chi opera su Supabase deve quindi trattare ogni risorsa come potenzialmente pubblica finché non prova il contrario. Non basta affidarsi agli strumenti; occorre testare, loggare, e chiudere ciò che non serve. Il problema, sottolinea UpGuard, non è raro né teorico. È presente su larga scala e verificato su istanze reali¹.

Un punto concreto chiude il cerchio: quando la piattaforma consente configurazioni rapide, ogni scorciatoia di sicurezza si propaga con la stessa rapidità. Il tempo risparmiato in sviluppo si può pagare con un’esposizione di milioni di record in produzione¹.