一些 Supabase 客户正将大量个人数据公开暴露在网络上

# 部分Supabase客户正在将海量用户数据暴露至公开网络 | TechCrunch 来源：https://techcrunch.com/2026/09/25/some-supabase-customers-are-publicly-exposing-reams-of-peoples-data-to-the-web/ 网络安全公司UpGuard的最新研究发现，由开发平台Supabase托管的数千个数据库正将用户的敏感信息暴露在公共互联网上。 UpGuard向TechCrunch透露，该公司在Supabase平台上发现了约16,000个存在不同程度个人数据泄露的数据库（https://www.upguard.com/blog/everything-everywhere-systemic-data-exposure-in-supabase-apps）。Supabase平台允许网页和应用开发者存储并运行数据库。 今年早些时候，Supabase的估值达到100亿美元（https://techcrunch.com/2026/06/05/supabase-doubles-valuation-to-10b-in-8-months/），这得益于越来越多开发者在该平台托管其"氛围编码"应用。但该公司因用户安全处理方式屡遭批评。此前已有大量案例（https://medium.com/@ctrl_cipher/how-misconfigured-supabase-apis-exposed-sensitive-data-across-thousands-of-organizations-162e24363c22）显示，用户因错误配置（https://deepstrike.io/blog/hacking-thousands-of-misconfigured-supabase-instances-at-scale）或意外将数据库暴露至互联网，部分案例涉及数百万条记录（https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys）。 此次发现凸显了"氛围编码"应用如何因基础配置错误和安全措施不当导致敏感数据泄露。虽然AI工具能快速构建网站与应用，但生成代码常存在安全缺陷，且开发者可能缺乏必要配置知识。 近年来，无数数据泄露事件与错误配置的存储服务器、数据库和网站有关。这些事件导致敏感军事邮件（https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/）、移民及签证申请（https://techcrunch.com/2026/05/27/uk-visa-portal-spilled-thousands-of-applicants-passports-and-selfies-online-and-hasnt-fixed-the-leak/）、机密政府文件（https://techcrunch.com/2017/11/28/army-nsa-inscom-aws-leak/）、数十万驾照扫描件（https://techcrunch.com/2025/08/13/how-we-found-teaonher-spilling-users-drivers-licenses-in-less-than-10-minutes/）以及儿童个人信息（https://techcrunch.com/2026/01/20/ustrive-security-lapse-exposed-personal-data-of-its-users-including-children/）遭泄露。 如今，AI氛围编码的兴起正推动新一轮数据泄露浪潮，越来越多泄露事件与Supabase平台相关——因为越来越多人使用该平台存储数据。 UpGuard旨在评估该平台数据暴露规模，发现大量公开可访问的姓名、地址、电话号码及用户密码，也发现少量密码与身份验证令牌。 该公司表示，数据库涉及各类项目数据，包括：印度成人直播平台上与性工作者的私密对话；美国某代客泊车服务的数千条车牌信息；移民搬迁服务用户的联系方式。其中一个数据库属于某非洲政府驻法国领事馆，另一个则被虚拟SIM卡池用于拦截短信——这类服务常用于发送一次性验证码进行网络诈骗和钓鱼攻击。 尽管大部分暴露数据集位于美国，UpGuard强调这是全球性问题。此前研究（https://modernpentest.com/blog/yc-supabase-vulnerability-research）已发现Supabase平台存在大量暴露数据库，包括Y Combinator初创公司项目（https://www.symbioticsec.ai/blog/we-scanned-1-072-vibe-coded-apps-98-had-security-flaws）及其他热门应用。 Supabase近年来对平台进行多项调整（https://supaexplorer.com/dev-notes/supabase-security-2025-whats-new-and-how-to-stay-secure.html），包括加强平台安全及用户数据库访问控制。 当被要求置评时，Supabase首席信息安全官Bil Harmer表示，虽然公司尚未看到该研究报告，但平台项目默认是"安全配置"。他将安全描述为公司与客户共同的责任："我们提供安全默认设置与工具，客户掌控自身项目的配置方式。"公司会在发现安全问题时通知受影响客户。 "Supabase的安全工作永无止境。我们致力于完善安全体系，并将持续帮助每位开发者实现安全交付。"Harmer表示。 UpGuard安全研究员Greg Pollock认为，此次研究对提升数据暴露问题的认知具有重要意义。 *当您通过文章中的链接购买时，我们可能获得小额佣金（https://techcrunch.com/techcrunch-affiliate-monetization-standards/）。这不会影响我们的编辑独立性。* Zack Whittaker是TechCrunch的安全编辑，同时运营每周网络安全通讯《本周安全动态》（https://this.weekinsecurity.com/）。 可通过加密信息联系Signal账号zackwhittaker.1337，或发送邮件至[[email protected]](mailto:[email protected])。 查看个人简介（https://techcrunch.com/author/zack-whittaker/）