Supabase、利用者の数千DBで個人情報が公開状態に

米TechCrunchによると、セキュリティ企業UpGuardの調査で、Supabase上にホストされた数千のデータベースが、機微な情報をインターネット上に公開した状態になっていることが分かった。Supabaseは、Webやアプリの開発者がデータベースを保存・運用するための開発基盤で、AIで作ったアプリの置き場所として利用が伸び、企業価値は100億ドルに達している。

UpGuardが確認した公開データには、氏名、住所、電話番号、ユーザーのパスワードが含まれていた。件数は少ないものの、パスワードや認証トークンも見つかった。具体例として、インドの成人向け配信サイトでの私的なやり取り、米国の駐車代行サービスが記録した数千件のナンバープレート、移住支援サービスの利用者の連絡先が挙がっている。アフリカのある国の在仏領事館のデータベースや、詐欺やフィッシングに使うアカウント認証用のワンタイムパスコードを受け取る仮想SIMファームのデータベースも含まれていたという。公開データの多くは米国にあるとみられるが、UpGuardは世界的な問題だとしている。

原因として指摘されているのは、基本的な設定ミスや不適切なセキュリティ対策だ。AIツールを使えばWebサイトやアプリは簡単に作れるが、生成されたコードに欠陥が含まれることがあるほか、アプリによっては特定の設定が必要なのに、開発者がそれを知らないまま公開してしまうことがある。

Supabaseの最高情報セキュリティ責任者（CISO）、Bil Harmer氏は、調査結果はまだ見ていないとしたうえで、同社のプロジェクトは「初期状態で安全」だと述べた。セキュリティは同社と顧客の共同責任であり、同社は安全な初期設定とツールを提供し、各プロジェクトの設定は顧客が管理するという立場だ。問題を見つけた場合は該当する顧客に通知しているという。

設定を誤ったストレージやデータベースからの情報流出は、以前から繰り返されてきた。今回の件は、AIで誰もがアプリを作れるようになった結果、データベースの公開範囲を理解しないまま本番運用に入る開発者が増え、同じ種類の事故が新たな規模で起きていることを示している。