概要
セキュリティ企業UpGuardの調査により、バックエンドサービス「Supabase」を利用するアプリケーションのうち16,000件以上のデータベースが設定ミスによって外部から読み取り可能な状態になっていたことが判明した。UpGuardはSupabaseの利用が確認できるドメインを約30万件分析し、そのうち半数以上で氏名や連絡先などの個人情報(PII)が、一部ではパスワードや認証トークンまでが平文で外部からアクセスできる状態にあったと報告している。ごく少数のケースではクレジットカード情報らしきデータも確認されたという。
原因と背景
UpGuardは流出の主因として、アプリケーション側のセキュリティ設定の不備、特に行レベルセキュリティ(RLS: Row-Level Security)ポリシーの欠落や不徹底、そして公開用APIキー(public key)の誤用を挙げている。Supabase自体の脆弱性ではなく、開発者側の設定ミスが根本原因である点が強調されており、UpGuardは「人間側がデータベースの設定を理解していない」と指摘している。注目すべきは、Supabase全体で新たに作成されるデータベースの6割以上がAIコーディングツールを用いて構築されているとされる点だが、UpGuardは調査対象となった漏洩データベースの一つひとつについてAIツールの利用を確認したわけではないとしている。AIによる開発の迅速化がアクセス制御設定の見落としにつながるリスクが指摘されているものの、因果関係が断定されているわけではない。
流出事例の詳細
調査では具体的な被害事例も複数報告されている。米国のバレーパーキングサービスでは顧客10万件以上の連絡先やナンバープレート、来店履歴などが流出し、カナダの移民関連サービスでは約5,000件のユーザー情報に加え884件の平文パスワードが露出していた。インドの成人向け創作者プラットフォームでは10万件を超える非公開メッセージと本人確認・決済関連データが、フィリピンのOTP(ワンタイムパスワード)サービスでは2,000件以上のユーザー情報と10万件のSMSメッセージが、さらにアフリカのある政府の在外公館では緊急避難先の住所を含む25,000件の記録が外部に公開された状態になっていた。
今後の対応
UpGuardはSupabaseユーザーに対し、プラットフォームが提供するセキュリティアドバイザーやAPIセキュリティに関するドキュメントを確認し、RLSポリシーやAPIキーの運用を見直すよう推奨している。AIコーディングツールによる開発が普及する中、コードやアプリの機能実装は迅速化する一方で、データベースのアクセス制御のような基盤設定が後回しにされがちな構造的リスクが改めて浮き彫りになったといえる。開発者自身がバックエンドの設定内容を十分に理解し検証する体制が、今後ますます重要になると考えられる。