![](\"https:\/\/es.gizmodo.com\/app\/uploads\/2026\/09\/base-de-datos-1024x683.jpg\")
<\/p>\n<\/p>\n
Crear una aplicaci\u00f3n nunca fue tan f\u00e1cil. Con asistentes de inteligencia artificial, cualquiera puede describir en palabras lo que quiere y obtener en minutos una app funcionando, con registro de usuarios, pagos y base de datos incluidos. Pero esa facilidad tiene un costo oculto, y una nueva investigaci\u00f3n acaba de ponerle cifras.<\/span><\/p>\n La empresa de ciberseguridad UpGuard encontr\u00f3 16.326 bases de datos de la plataforma Supabase cuyas tablas pod\u00eda leer cualquier persona con conexi\u00f3n a internet. En m\u00e1s de la mitad hab\u00eda indicios de informaci\u00f3n personal: nombres, direcciones, tel\u00e9fonos, mensajes privados y, en algunos casos, contrase\u00f1as y credenciales de acceso.<\/span><\/p>\n Supabase es una plataforma de c\u00f3digo abierto que ofrece a los desarrolladores una base de datos lista para usar, junto con herramientas de autenticaci\u00f3n y almacenamiento. Es una de las opciones m\u00e1s populares para construir aplicaciones web r\u00e1pidamente y se convirti\u00f3 en la base de muchas herramientas de \u201cvibe coding\u201d, la pr\u00e1ctica de programar pidi\u00e9ndole el c\u00f3digo a una IA sin escribirlo l\u00ednea por l\u00ednea.<\/span><\/p>\n El problema no es un hackeo ni una falla en los servidores de Supabase. Es un error de configuraci\u00f3n. La plataforma cuenta con una protecci\u00f3n llamada seguridad a nivel de fila (Row Level Security), que define qu\u00e9 usuario puede ver cada registro. Cuando est\u00e1 desactivada, la clave p\u00fablica que la aplicaci\u00f3n incluye en su c\u00f3digo, visible para cualquiera que inspeccione la p\u00e1gina, alcanza para leer tablas completas.<\/span><\/p>\n La falla se conoce desde marzo de 2025, cuando el desarrollador Matt Turner detect\u00f3 que muchas apps creadas con la plataforma de vibe coding Lovable dejaban sus datos expuestos. El caso qued\u00f3 registrado como la vulnerabilidad CVE-2025-48757. Tras la denuncia, Supabase activ\u00f3 por defecto la seguridad a nivel de fila para las tablas creadas desde su editor visual.<\/span><\/p>\n Pero qued\u00f3 un hueco. Las tablas que se crean de forma program\u00e1tica, a trav\u00e9s de la API, que es justamente el m\u00e9todo que usan los agentes de programaci\u00f3n con IA, no tienen esa protecci\u00f3n activada por defecto. Si quien crea la app no sabe que debe habilitarla, o el asistente no lo hace por su cuenta, los datos quedan a la vista.<\/span><\/p>\n Para medir el alcance, el equipo dirigido por Greg Pollock, director de investigaci\u00f3n de UpGuard, identific\u00f3 sitios que usan Supabase analizando sus archivos p\u00fablicos de JavaScript, donde aparecen las claves y direcciones de las bases de datos. Revisaron unos 300.000 dominios y consultaron si sus tablas de usuarios eran accesibles. Los resultados est\u00e1n en el <\/span>informe publicado por UpGuard<\/span>, que los autores describen como el mayor estudio realizado sobre este tipo de exposici\u00f3n.<\/span><\/p>\n Para no invadir la privacidad de los afectados, los investigadores evaluaron el tipo de datos a partir de la estructura de las tablas y no revisaron los registros uno por uno.<\/span><\/p>\n Algunos ejemplos muestran la magnitud del problema. Un servicio de valet parking del noreste de Estados Unidos expon\u00eda datos de m\u00e1s de 100.000 clientes, incluidos 78.000 n\u00fameros de patente. Un consulado africano dejaba a la vista las direcciones de 25.000 usuarios, entre ellas ubicaciones de viviendas de emergencia. Un servicio de asesor\u00eda migratoria ten\u00eda 884 contrase\u00f1as guardadas en texto plano, sin ning\u00fan tipo de cifrado.<\/span><\/p>\n En Filipinas, una operaci\u00f3n de recepci\u00f3n de c\u00f3digos de verificaci\u00f3n, del tipo que suele usarse para crear cuentas falsas en masa, expon\u00eda m\u00e1s de 100.000 mensajes SMS con c\u00f3digos de acceso. El informe tambi\u00e9n se\u00f1ala que las filtraciones ocurren en todo el mundo, aunque son m\u00e1s frecuentes en regiones sin leyes de protecci\u00f3n de datos estrictas, como las que rigen en Europa.<\/span><\/p>\n Desde Supabase, su director de seguridad, Bil Harmer, sostuvo que la seguridad es una \u201cresponsabilidad compartida\u201d: la plataforma ofrece configuraciones seguras por defecto, pero cada cliente controla la configuraci\u00f3n de su propio proyecto.<\/span><\/p>\n Para quienes crean aplicaciones, la recomendaci\u00f3n es clara: verificar que la seguridad a nivel de fila est\u00e9 activada en todas las tablas, especialmente las que contienen datos de usuarios, revisar los avisos del panel de seguridad de Supabase y no confiar ciegamente en el c\u00f3digo generado por una IA. Como resume el informe de UpGuard, las filtraciones son el producto de dos factores: lo f\u00e1cil que es configurar mal una tecnolog\u00eda y la cantidad de personas que la usan.<\/span><\/p>\n<\/p><\/div>\n","protected":false},"excerpt":{"rendered":" Crear una aplicaci\u00f3n nunca fue tan f\u00e1cil. Con asistentes de inteligencia artificial, cualquiera puede describir en palabras lo que quiere y obtener en minutos una app funcionando, con registro de usuarios, pagos y base de datos incluidos. Pero esa facilidad tiene un costo oculto, y una nueva investigaci\u00f3n acaba de ponerle cifras. La empresa de […]<\/p>\n","protected":false},"author":1,"featured_media":19888,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-19887","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sin-categoria"],"_links":{"self":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts\/19887","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=19887"}],"version-history":[{"count":0,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/posts\/19887\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=\/wp\/v2\/media\/19888"}],"wp:attachment":[{"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=19887"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=19887"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/laf5.publisher.highstack.com.ar\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=19887"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Qu\u00e9 es Supabase y por qu\u00e9 importa<\/b><\/h2>\n
El atajo que dejan los asistentes de IA<\/b><\/h2>\n
C\u00f3mo se hizo la investigaci\u00f3n<\/b><\/h2>\n
Los casos m\u00e1s graves<\/b><\/h2>\n
La respuesta de Supabase y qu\u00e9 pueden hacer los desarrolladores<\/b><\/h2>\n