一部のSupabase顧客が、大量の個人データをウェブ上に公開している

開発プラットフォームSupabaseでホストされている数千ものデータベースが、一般の人々の機密情報を公開していると、サイバーセキュリティ企業UpGuardの新しいセキュリティ調査が明らかにしました。 UpGuardはTechCrunchに対し、ウェブおよびアプリ開発者がデータベースを保存・実行できるSupabaseでホストされている約16,000のデータベースで、何らかの個人データが公開されているのを発見したと述べています。 Supabaseは今年初め、開発者がvibe-codedアプリをプラットフォームにホストする増加により、100億ドルの評価額に達しました。しかし、同社はユーザーセキュリティの取り扱いに関して批判に直面しています。 ユーザーがデータベースを設定ミスしたり、意図せずインターネットに公開したりするケースが広く文書化されており、一部では1件あたり数百万件のレコードが漏洩しています。 この発見は、vibe-codedアプリやウェブサイトが、基本的な設定ミスや不適切なセキュリティを通じて機密データを漏洩または公開する可能性があることを浮き彫りにしています。 AIツールを使用してウェブサイトやアプリを簡単に構築できますが、生成されたコードにはセキュリティ上の欠陥が含まれていることが多く、またはアプリには開発者が知らない可能性のある特定の設定が必要となる場合があります。 長年にわたり、数え切れないほどのデータ侵害が、不適切に設定されたストレージサーバー、データベース、ウェブサイトに関連付けられてきました。 このようなケースでは、機密性の高い軍事メール、移民・ビザ申請、機密政府ファイル、数十万件の運転免許証のスキャン、子供の個人情報などが漏洩しています。 現在、AI vibe-codingのブームが新たなデータ侵害の波を煽っており、多くのケースがSupabaseに関連付けられています。これは、人々がデータを保存するためにSupabaseをますます利用しているためです。 UpGuardは、プラットフォーム全体で公開されているデータの規模を理解しようと試み、公開されている氏名、住所、電話番号、ユーザーパスワードを発見したと述べています。 この調査では、少数のパスワードと認証トークンも発見されました。 同社によると、データベースには、インドの成人向けストリーミングサイトでの性労働者とのプライベートな会話、米国のバレーサービスからの数千件のライセンスプレート、移民・移住サービスを利用した人々の連絡先情報など、さまざまなプロジェクトに関連するデータが含まれていました。 データベースの1つはフランスにあるアフリカ政府の大使館のものであったとUpGuardは述べており、別のデータベースはオンラインアカウントを検証するためのワンタイムパスコードを送信するための仮想SIMファームによってテキストメッセージを傍受するために使用されており、通常は詐欺やフィッシング攻撃を開始するために使用されていました。 これらの公開されたデータセットの大部分は米国にあるように見えますが、UpGuardはこれが世界的な問題であると述べています。 この発見は、Y Combinatorのスタートアップやその他の人気アプリによってホストされているさまざまな公開データベースを発見した以前の調査に基づいています。 Supabaseは長年にわたりプラットフォームに変更を加えており、プラットフォームとデータベースへのユーザーアクセスを強化しています。 コメントを求められたSupabaseの最高情報セキュリティ責任者であるBil Harmer氏は、同社は調査を見ていないものの、同社のプロジェクトは「デフォルトで安全」であると述べました。 彼は、セキュリティは会社と顧客との間の共有責任であると説明しました。 「私たちは安全なデフォルトとツールを提供し、顧客は自身のプロジェクトの設定方法を制御します」と述べ、セキュリティ問題が発見された際には影響を受けた顧客に通知すると付け加えました。 「Supabaseのセキュリティは決して完了しません。私たちはそれを正しく行うことを深く気にかけ、すべての開発者が安全にリリースできるように、今後も改善を続けていきます」とHarmer氏は述べました。 UpGuardのセキュリティ研究者であるGreg Pollock氏は、同社の研究がデータ公開の問題に関する意識を高める上で重要であったと述べました。 トピック AI、サイバーセキュリティ、データ公開、セキュリティ、Supabase、vibe coding 当社の記事のリンクから購入すると、当社は少額の手数料を得る場合があります。これは当社の編集の独立性には影響しません。 Zack Whittaker Security Editor Zack WhittakerはTechCrunchのセキュリティエディターです。彼は毎週のサイバーセキュリティニュースレター「This Week in Security」も執筆しています。zack.whittaker@techcrunch.comにメールするか、Signalでzackwhittaker.1337に暗号化メッセージで連絡できます。アウトリーチを確認することもできます。 詳細を見る 10月13日～15日 サンフランシスコ 2枚目のパスが50%オフ Disrupt体験は共有されるように設計されています。パスを購入し、同僚、パートナー、または同業者を50%オフで連れてきてください。つながりを築き、勢いをつけ、スタートアップエコシステムの次なるものを発見することで、より多くのことをカバーしましょう。 今すぐ予約 最も人気のある GoogleはSpaceXのStarshipが宇宙データセンターが離陸する前に1,800回打ち上げられる必要があると考えている Tim Fernholz 世界初の強化地熱発電所がわずか23ヶ月で完成 Tim De Chant GoogleがGemini 4 Argonをリリース、これまでで最も強力なモデルと呼ぶ Lucas Ropek 国防総省がイーロン・マスク氏とパーマー・ラッキー氏を軍の対応決定に起用 Dominic-Madori Davis OpenAIがエージェント型アバター「Dots」をリリース Lucas Ropek AMDがFei-Fei Li氏のWorld Labsを82億ドルで買収 Tim Fernholz バイラルAIエージェントInstinctが100億ドルの評価額で10億ドルのシリーズC資金調達 Sarah Perez