Des milliers de bases de données d’applis lisibles par n’importe qui, selon UpGuard

Beaucoup de nouvelles applis sont bâties rapidement, souvent avec un assistant de programmation par IA qui fait l’essentiel du travail, sur un service de base de données hébergé appelé Supabase. La firme de sécurité UpGuard a examiné environ 300 000 sites qui l’utilisent et a trouvé 16 326 bases de données dont au moins certaines tables pouvaient être lues par quiconque savait où chercher. Plus de la moitié présentaient des signes de renseignements personnels. Voici ce que l’étude a trouvé et ce que ça veut dire pour les applis auxquelles vous vous inscrivez.

Ce qu’UpGuard a trouvé

Dans son rapport (en anglais), UpGuard explique que les bases Supabase sont protégées par des règles qui déterminent qui peut lire chaque table, appelées sécurité au niveau des lignes (row-level security). Si ces règles sont absentes ou mal écrites, la clé publique que chaque appli Supabase inclut dans ses pages Web suffit pour lire les données. Supabase active maintenant ces règles par défaut pour les tables créées dans son tableau de bord, mais UpGuard souligne que les tables créées par son API, ce que font habituellement les assistants de programmation, ne les reçoivent pas par défaut.

UpGuard a rassemblé environ 300 000 domaines présentant des signes de Supabase et a demandé à chacun une table d’utilisateurs. Parmi eux, 16 326 bases ont renvoyé des tables lisibles. D’après la structure des tables :

• plus de la moitié présentaient des indices de renseignements personnels
• une plus petite part contenaient des mots de passe ou des jetons de connexion
• un très petit nombre contenaient des données de carte de crédit plausibles

Pour vérifier que les données étaient réelles, UpGuard a examiné de près quelques cas et a avisé les propriétaires lorsqu’il trouvait une exposition importante. L’un d’eux était un service d’accompagnement en relocalisation et en immigration pour les gens qui s’installent au Canada. Sur près de 5 000 dossiers de sa table d’utilisateurs, presque tous contenaient le nom complet, l’adresse courriel, le numéro de téléphone et la date de naissance, et 884 contenaient un mot de passe stocké en clair. D’autres cas comprenaient un service de voiturier américain exposant les numéros de téléphone et les plaques de plus de 100 000 clients, et la base d’un consulat de 25 000 personnes indiquant dans quel hébergement d’urgence chacune vivait.

UpGuard soutient que ces sites sont surtout bâtis par des agents de programmation IA dont les propriétaires ne comprennent pas les réglages de la base. Son étude ne le prouve pas pour chaque site, et UpGuard n’a pas nommé les entreprises.

Ce que ça veut dire pour vous

Vous ne pouvez pas savoir de l’extérieur si une petite appli a bien verrouillé sa base de données. Ce que vous contrôlez, c’est ce qu’elle reçoit, et si une fuite déborde sur le reste de vos comptes. L’exemple canadien est un bon avertissement : les gens qui confiaient leur date de naissance et leurs projets d’immigration à un service d’accompagnement n’avaient aucun moyen de savoir que leur mot de passe était stocké en clair.

Ce que vous pouvez faire

1. Utilisez un mot de passe différent pour chaque service. Ainsi, la fuite d’un mot de passe en clair d’une petite appli ne révèle qu’un seul compte. Un gestionnaire de mots de passe rend cela facile.
2. Donnez le minimum aux nouvelles applis. Si un formulaire d’inscription demande une date de naissance ou un numéro de téléphone dont il n’a pas besoin à l’évidence, laissez-le vide ou demandez pourquoi.
3. Soyez particulièrement prudent avec les applis d’immigration, de santé ou d’argent. Privilégiez les services qui disent qui les exploite et comment les joindre pour les questions de vie privée.
4. Si vous bâtissez des applis, vérifiez vos tables. Assurez-vous que la sécurité au niveau des lignes est activée et restreint réellement la lecture de chaque table, y compris celles créées par votre assistant de programmation, et ne stockez jamais de mots de passe en clair.
5. Méfiez-vous des messages qui utilisent des détails confiés à une petite appli. Voyez comment les fraudeurs utilisent les données divulguées.

Comment Frame peut aider

Frame tient un catalogue des fuites connues et vous permet d’ajouter à une adresse courriel vérifiée celles dont vous savez avoir fait partie. Frame montre ce que chacune a exposé, vous donne une courte liste de vérification et en tient compte dans votre rapport d’exposition. La recherche automatique de fuites n’est pas encore offerte. Nous ne recueillons ni ne conservons jamais les données divulguées elles-mêmes.

Sources

• UpGuard, Everything Everywhere: Systemic Data Exposure in Supabase Apps (en anglais), 14 octobre 2026