잘못 설정된 Supabase 앱, 16,000개 이상 데이터베이스에서 데이터 노출

연구자들은 읽기 가능한 상태로 개인식별정보(PII), 비밀번호, 또는 인증 토큰을 노출하고 있는 잘못 설정된 Supabase 데이터베이스를 16,000개 이상 발견했다.

사이버 위험 관리 업체 UpGuard의 연구자들은 테이블 스키마 분석을 바탕으로, 노출된 정보 중 극히 일부에는 신용카드 데이터도 포함되어 있는 것으로 추정한다고 밝혔다.

Supabase는 PostgreSQL을 기반으로 만들어진 오픈소스 개발 플랫폼으로, 개발자들이 앱과 웹사이트를 더 빠르게 구축하고 출시할 수 있도록 다양한 백엔드 서비스를 제공한다.

이 서비스는 인공지능(AI) 도구를 활용해 프로젝트를 구축하는 개발자들 사이에서 점점 인기를 얻고 있으며, 새로 생성되는 데이터베이스 중 60% 이상이 AI 지원 개발로 만들어지고 있다.

UpGuard 연구자들은 Supabase를 사용하는 것으로 보이는 약 300,000개 도메인 데이터셋을 분석해 'users' 테이블이 있는지 확인했다. 일부 쿼리는 데이터베이스의 페이지를 그대로 반환했고, 다른 일부는 'users' 테이블이 존재하지 않는다는 것을 암시했지만, 다른 이름의 테이블이 접근 가능한 상태였다.

이후 연구자들은 테이블 스키마를 이용해 노출된 데이터셋 전반에서 어떤 종류의 데이터가 포함되어 있는지 추론했다. 노출된 데이터베이스의 절반 이상에서 UpGuard는 개인식별정보(PII)를 발견했으며, 그보다 적은 일부에는 비밀번호와 인증 토큰도 포함되어 있었다.

노출된 데이터 유형

출처: UpGuard

주목할 만한 사례 중에는 미국의 한 발렛(주차 대행) 서비스가 연락처 정보, 차량 번호판, 방문 기록을 포함한 100,000건 이상의 고객 기록을 노출한 경우가 있었다.

캐나다의 한 이민 서비스에서는 연구자들이 평문 비밀번호 884건을 포함해 거의 5,000건의 사용자 기록을 발견했다고 밝혔다.

인도 기반의 한 성인 크리에이터 플랫폼에서는 신원 정보, 결제 계정 정보, 그리고 100,000건 이상의 개인 메시지가 발견됐다고 UpGuard는 전했다.

필리핀 기반의 한 OTP 서비스는 2,000명 이상의 사용자 데이터와 100,000건의 SMS 메시지를 노출했으며, 그중 일부는 서비스와 무관해 보이는 개인 간 통신 내용도 포함되어 있었다.

아프리카의 한 정부 영사관은 주소와 응급 주거 위치를 포함해 25,000명에 달하는 사람들의 기록을 노출했다.

연구자들은 이러한 노출의 원인을 부실한 애플리케이션 보안 설정, 특히 로우 레벨 보안(row-level security) 정책의 부재 또는 오작동, 그리고 공개 키(public key)의 오용으로 지목했다.

UpGuard는 이러한 보안 문제가 특정 업종에만 국한되지 않는다고 설명했다:

"이러한 보안 설정 문제는 업종과 무관하게 나타난다. 왜냐하면 자신이 어떤 업종의 서비스를 홍보하고 있는지 아는 사람들도, 자기 데이터베이스의 보안 설정에 대해서는 이해하지 못하기 때문이다,"라고 UpGuard는 설명한다.

"공통점은 이 사이트들이 AI 코딩 에이전트에 의해 만들어졌고, 사람들은 그 설정 상태를 모르고 있다는 점이다."

연구자들은 AI 지원 앱 개발에서 설정 오류의 위험이 커지고 있음을 강조하면서도, 자신들의 스캔 결과가 노출된 모든 사이트가 AI 코딩 에이전트로 만들어졌다는 것을 입증하는 것은 아니라고 강조했다.

UpGuard는 심층 분석을 통해 심각한 노출이 확인된 경우, 해당 애플리케이션 운영자에게 통보했다고 밝혔다.

Supabase 사용자들은 노출 위험을 파악하고 이를 완화하기 위해, 플랫폼의 보안 문서(어드바이저 및 API 보안 가이드 포함)를 검토할 것을 권장받고 있다.