La firma de ciberseguridad UpGuard encontró más de 16.000 bases de datos alojadas en Supabase que exponen información personal de usuarios de todo el mundo, desde nombres y direcciones hasta contraseñas y mensajes privados.
El hallazgo forma parte de un estudio de UpGuard Research que analizó cerca de 300.000 dominios con indicios de usar Supabase, la plataforma de bases de datos que se convirtió en la preferida de los asistentes de programación con inteligencia artificial. La compañía brinda a desarrolladores un servicio de bases de datos Postgres alojadas en la nube.
De ese universo, los investigadores identificaron 16.326 bases de datos con tablas de información accesibles públicamente. Más de la mitad contenía algún tipo de dato personal, y una porción menor incluía contraseñas o tokens de autenticación.
Cuáles son los casos concretos de exposición
Entre los ejemplos documentados, UpGuard encontró una base de datos de un sitio de contenido para adultos en India con 65.467 usuarios, cuyos registros incluían pasaportes, licencias de conducir, números de documento y más de 100.000 mensajes privados intercambiados con creadores de contenido.
También detectaron la base de un servicio de valet parking en el noreste de Estados Unidos con datos de más de 100.000 clientes, incluyendo patentes de autos, historial de propinas y notas de texto libre sobre cada persona. Otro caso correspondió a un consulado de un gobierno africano en Francia, con 25.000 registros de personas que la firma describió como una población vulnerable, incluyendo el dato de en qué vivienda de emergencia reside cada una.
UpGuard también halló una base usada por una granja de SIM virtuales en Filipinas, empleada para interceptar códigos de verificación de cuentas destinados a fraudes y phishing, que contenía más de 100.000 mensajes de texto. Entre ellos había casos de comunicaciones reales entre choferes y pasajeros de aplicaciones de transporte, ajenos a la operación fraudulenta pero capturados por el mismo sistema.
Un problema conocido desde 2025
El vector de exposición no es nuevo. En marzo del año pasado, el desarrollador Matt Turner reportó un problema de configuración generalizado (identificado como CVE-2025-48757) en bases de datos creadas a través de la plataforma de programación asistida Lovable, que carecían de controles para impedir que cualquier usuario consultara la información.
Desde entonces, Supabase implementó por defecto un mecanismo de seguridad a nivel de fila para las tablas creadas desde su interfaz visual. Sin embargo, según el informe de UpGuard, las tablas creadas de forma programática a través de la API, que es como interactúan los asistentes de IA con la plataforma, no activan esa protección de forma automática.
Supabase alcanzó este año una valuación de USD 10.000 millones, impulsada por el crecimiento de desarrolladores que programan aplicaciones con asistencia de inteligencia artificial y las alojan en su plataforma, según había informado la propia empresa en junio.
Cuál fue la respuesta de la empresa
Consultado por TechCrunch, el director de seguridad de la información de Supabase, Bil Harmer, dijo que la compañía no había tenido acceso a la investigación de UpGuard, pero que sus proyectos son “seguros por defecto”. Harmer describió la seguridad como una responsabilidad compartida entre la empresa y sus clientes.
“Ofrecemos configuraciones predeterminadas seguras y herramientas, y los clientes controlan cómo configuran sus propios proyectos”, afirmó el ejecutivo, quien agregó que la compañía notifica a los clientes afectados cuando detecta problemas de seguridad.
El director de investigación de UpGuard, Greg Pollock, sostuvo que el estudio de su equipo resulta relevante para generar conciencia sobre el problema de las exposiciones de datos.
El informe de UpGuard también señala que estudios previos, más acotados, ya habían detectado el patrón: uno de ellos escaneó 107 startups surgidas del programa de aceleración Y Combinator y encontró que el 28% exponía información personal identificable, mientras que otro relevó 1.072 aplicaciones programadas con asistencia de IA y halló 39 con tablas legibles mediante la clave pública de Supabase.
