보안 기업 UpGuard가 수행한 연구에 따르면 Supabase 플랫폼에 호스팅된 약 1만 6천 개의 데이터베이스가 대중에게 일정량의 개인 정보에 접근할 수 있도록 하고 있었다. 회사가 발견한 데이터에는 이름, 주소, 전화번호, 비밀번호와 함께 더 적은 수의 인증 코드가 포함됐다.
Supabase는 애플리케이션 데이터베이스를 저장하고 실행하는 데 사용되며, 인공지능 도구와 이른바 ‘바이브 코딩’ 또는 vibe coding 방식으로 개발자들이 애플리케이션을 빠르게 구축하는 일이 확산되면서 이용이 증가했다. 연구에 따르면 문제는 플랫폼에만 있었던 것이 아니라, 데이터가 공용 인터넷을 통해 접근 가능하도록 설정된 데이터베이스나 프로젝트에도 있었다.
다양한 데이터와 높은 민감도의 사례
UpGuard는 노출된 데이터베이스에 인도의 성인 방송 사이트에서 성 노동자들과 나눈 비공개 대화, 미국 발렛파킹 서비스의 차량 번호판 수천 개, 이민 및 이주 서비스 이용자의 연락처 정보가 포함됐다고 밝혔다. 또한 한 사례에서는 프랑스에 있는 아프리카 정부 소속 영사관과 연결된 데이터베이스가 발견됐고, 다른 사례에서는 일회용 인증 코드를 전송하는 가상 SIM 팜의 문자 메시지를 가로채는 데 사용된 데이터베이스가 발견됐다. 이는 사기와 피싱에 악용될 수 있는 방식이다.
회사가 파악한 데이터 세트의 대부분은 자사 설명에 따르면 미국에 집중돼 있지만, 회사는 문제가 세계적이라고 강조했다. 이번 연구는 Supabase에 호스팅된 노출된 데이터베이스를 찾아낸 이전 조사에 이은 것으로, 여기에는 Y Combinator의 스타트업 및 잘 알려진 애플리케이션과 연결된 데이터베이스도 포함됐다.
이 소식이 중요한 이유
이번 사안은 인공지능을 활용한 애플리케이션 개발의 실질적인 위험을 보여준다. 도구가 작동하는 애플리케이션을 생성할 수 있다고 해서 그 안의 데이터베이스 설정이나 접근 정책이 안전하다는 뜻은 아니다. 생성된 코드에 취약점이 포함될 수 있고, 개발자가 인지하지 못한 보안 설정이 필요할 수도 있어 단순한 실수가 수백만 건의 기록을 노출하는 원인이 될 수 있다.
수많은 선례는 제대로 설정되지 않은 스토리지 서버, 데이터베이스 및 웹사이트가 군사 메시지, 이민 및 비자 신청서, 기밀 정부 문서, 운전면허증 사본, 아동 데이터를 포함한 유출과 관련됐음을 보여준다. 따라서 문제의 영향은 애플리케이션 개발자에게만 국한되지 않고, 민감한 정보를 저장하기 위해 이러한 서비스에 의존하는 사용자와 기관에도 미친다.
공동 책임과 미해결 질문
Supabase의 최고정보보안책임자 Bil Harmer는 회사가 해당 연구를 확인하지 못했지만, 플랫폼 프로젝트는 ‘기본적으로 안전하다’고 설명했다. 그는 Supabase가 기본 설정과 보호 도구를 제공하는 반면 고객이 프로젝트 설정 방식을 통제하며, 보안 문제가 발견되면 영향을 받은 고객에게 통지하는 등 보안은 공동 책임이라고 덧붙였다.
이 답변은 플랫폼의 기본 설정이 보장할 수 있는 범위를 보여준다. 접근 권한, 보안 규칙, 노출된 데이터 검토는 여전히 고객의 운영상 책임이다. 또한 본문은 실제로 접근된 기관이나 기록의 수를 밝히지 않으며, 언급된 모든 데이터베이스가 해킹되거나 복사됐다는 점도 입증하지 않는다. 공개된 결과는 데이터에 공개적으로 접근할 수 있었는지에 관한 것이다.