26/09/2026 · VietTechies · Biên tập
Theo nghiên cứu bảo mật của UpGuard được TechCrunch đưa tin ngày 25/9/2026, khoảng 16.000 cơ sở dữ liệu lưu trên nền tảng phát triển Supabase đã làm lộ ở mức độ nào đó thông tin cá nhân. Dữ liệu bị lộ gồm tên, địa chỉ và số điện thoại; mật khẩu cùng token xác thực xuất hiện ít hơn.
Dự án cấu hình sai
Phát hiện này liên quan đến cách khách hàng cấu hình dự án, không phải một vụ xâm phạm duy nhất trên toàn nền tảng. Supabase cung cấp hạ tầng lưu trữ và cơ sở dữ liệu cho các nhà phát triển web, ứng dụng, còn khách hàng tự kiểm soát cấu hình từng dự án và thiết lập quyền truy cập. UpGuard cho biết các cơ sở dữ liệu bị lộ có thông tin liên quan đến một dịch vụ nhập cư và chuyển nơi ở, một doanh nghiệp trông giữ xe ở Mỹ và một trang phát trực tuyến nội dung người lớn tại Ấn Độ.
Rủi ro lộ dữ liệu trên diện rộng
UpGuard cũng xác định một cơ sở dữ liệu liên quan đến lãnh sự quán của một chính phủ châu Phi tại Pháp, cùng một cơ sở dữ liệu được dùng để chặn các tin nhắn văn bản chứa mã xác thực dùng một lần từ một hoạt động vận hành SIM ảo. Phần lớn tập dữ liệu dường như nằm tại Mỹ, nhưng công ty nghiên cứu nhận định đây là vấn đề trên toàn cầu. Nghiên cứu mới tiếp nối các phát hiện trước đó về những cơ sở dữ liệu Supabase bị lộ, trong đó có cơ sở dữ liệu của các startup thuộc Y Combinator và nhiều ứng dụng khác.
Phát triển có AI hỗ trợ làm tăng áp lực
Báo cáo liên hệ rủi ro này với việc các ứng dụng được phát triển có AI hỗ trợ, thường được gọi là “vibe coding”. Mã do AI tạo ra có thể chứa lỗ hổng bảo mật, trong khi nhà phát triển có thể không hiểu cấu hình cần thiết để bảo vệ các cơ sở dữ liệu được kết nối. Nguồn tin cũng đặt phát hiện này trong xu hướng kéo dài, khi thông tin nhạy cảm bị lộ qua các máy chủ lưu trữ, cơ sở dữ liệu và website cấu hình không đúng.
Phản hồi của Supabase
Bil Harmer, Giám đốc an ninh thông tin của Supabase, nói với TechCrunch rằng công ty chưa xem nghiên cứu của UpGuard và cho rằng các dự án trên nền tảng được bảo mật mặc định. Ông cho biết bảo mật là trách nhiệm chung giữa Supabase và khách hàng: công ty cung cấp các thiết lập mặc định cùng công cụ bảo mật, còn khách hàng cấu hình dự án của mình. Supabase đã nhiều lần thay đổi nền tảng và quyền truy cập cơ sở dữ liệu, đồng thời cho biết sẽ thông báo cho khách hàng bị ảnh hưởng khi phát hiện vấn đề bảo mật. Theo bài viết, công ty đạt mức định giá 10 tỷ USD vào đầu năm 2026.
Ảnh minh họa do AI tạo.
Nguồn: Some Supabase customers are publicly exposing reams of people’s data to the web