Supabase上で約1万6000のデータベースが個人情報を公開か、UpGuardが指摘

何が報告されたのか

サイバーセキュリティ企業UpGuardは、開発プラットフォームSupabaseがホストする数千のデータベースが、個人の機微な情報を公開状態で露出させていたと発表しました。TechCrunchへの説明によると、なんらかの個人データが露出していたデータベースは約16,000件にのぼります。Supabaseは、Webやアプリの開発者がデータベースを保存・実行するために使うサービスです。

露出していたのは氏名、住所、電話番号、ユーザーのパスワードなどです。パスワードや認証トークン(ログイン状態の確認などに使われる文字列)の件数はより少なかったとされています。UpGuardは、インドのアダルト配信サイトで性的サービスの利用者との私的な会話、米国のバレーサービス(駐車代行サービス)の数千件のナンバープレート、移民・移住サービス利用者の連絡先などが含まれていたと説明しています。

加えて、アフリカのある政府のフランス領事館に属するデータベースや、オンラインアカウントの確認に使うワンタイムパスコードを送信するための仮想SIMファームがSMSを傍受するために使っていたデータベースもあったとしています。

なぜ起きるのか

こうした露出は、開発者がデータベースの設定を誤ったり、意図せずインターネット全体に公開してしまったりすることで起きます。過去にも、設定が不適切なストレージサーバーやデータベース、Webサイトが原因で多数の情報漏えいが発生してきました。軍のメール、移民・ビザ申請、政府の機密文書、数十万件の運転免許証のスキャン、子どもの個人情報などが漏れた事例が報告されています。

今回の背景として記事が挙げているのが、AIを使った「バイブコーディング」の広がりです。AIツールを使えばWebサイトやアプリを簡単に作れますが、生成されたコードにセキュリティ上の欠陥が含まれていたり、開発者が気づかないうちに特定の設定が必要になったりすることがあります。Supabase上に作られたアプリの増加が、新たな情報漏えいの波を後押ししていると記事は指摘しています。

Supabase側の説明

Supabaseの最高情報セキュリティ責任者(CISO)Bil Harmer氏はTechCrunchに対し、同社はこの調査をまだ見ていないとしつつ、自社のプロジェクトは「デフォルトで安全(secure by default)」だと述べました。セキュリティは自社と顧客の共同責任だと位置づけ、安全な初期設定とツールを提供し、プロジェクトの設定方法は顧客が管理すると説明しています。セキュリティ上の問題を発見した場合は、影響を受ける顧客に通知するとも述べています。

Supabaseは今年、開発者がバイブコーディングしたアプリをホストする動きの広がりを受け、100億ドルの評価額に達したと記事は伝えています。一方で、ユーザーのセキュリティへの対応をめぐって批判を受けてきたことも事実だとしています。同社はこれまで、プラットフォームやデータベースへのユーザーアクセスを強化するなどの変更を加えてきたとされています。

分かっていないこと

UpGuardのセキュリティ研究者Greg Pollock氏は、今回の調査がデータ露出の問題への認識を高めるために重要だと述べています。一方、約16,000件という数字がSupabase上のデータベース全体のどれくらいの割合にあたるのかは示されていません。日本を含む国・地域別の内訳や、影響を受けた人の数も明らかにされていません。

Supabase側は、TechCrunchの取材時点でこの調査結果をまだ確認していないとしています。そのため、同社が調査内容を確認した後にどのような追加対応を取るのかは現時点では不明です。記事は、Supabaseがこれまでプラットフォームやデータベースへのユーザーアクセスを強化する変更を加えてきたとも伝えています。