Des applis web exposent des données personnelles sur Supabase

Concerné ?

Les comptes susceptibles d’être touchés sont ceux d’applications web dont les tables Supabase étaient accessibles sans identifiant. L’enquête porte sur des sites de plusieurs pays et ne nomme aucune application française. Elle ne permet donc pas à un utilisateur de vérifier si son compte figure dans les tables examinées.

Comment on le sait

Des chercheurs ont pu consulter des tables dans 16 326 bases sans identifiant. Clubic rapporte leurs résultats le 29 septembre 2026 : plus de la moitié de ces bases contenaient des données personnelles. Une protection absente ou mal réglée permettait de lire certaines tables avec la clé publique de l’application.

Ce qu’on ne sait pas : Le nombre d’utilisateurs touchés en France reste inconnu. Aucun usage frauduleux des données accessibles n’est documenté.

Le risque

Les données accessibles variaient selon les applications examinées. Les chercheurs ont trouvé des pièces d’identité, des messages privés et des identifiants, mais aussi, dans certains cas, des mots de passe et des codes de connexion. Leur présence dans une table accessible ne prouve pas qu’un tiers les ait consultés ou utilisés.

Quoi faire maintenant

Sans avis de fuite, aucune démarche ciblée n’est annoncée pour les utilisateurs. Si un service vous signale une violation de données, Cybermalveillance.gouv.fr conseille de :

1. Lire l’avis pour savoir quelles informations ont pu être compromises et contacter le service si une confirmation est nécessaire.
2. Se méfier des appels et messages qui utilisent ces informations pour demander un code, un mot de passe ou la validation d’une opération bancaire.
3. Utiliser un mot de passe distinct pour chaque service et activer la double authentification lorsqu’elle est proposée.