Supabase、評価額100億ドルに 誰でも閲覧できるデータベース1万6326件を研究者が確認

1万6000の扉、家主は一人

フィリピンでは、ワンタイムパスワード(OTP)を傍受する目的で構築されたSIMファームが、誰でもクエリを実行できるSupabaseのデータベース上で稼働していた。このデータベースには10万件超のテキストメッセージが保存され、その95%はパスコードだった。さらに、この仕組みとは無関係なドライバーと乗客の日常的なライドシェアのチャットも数千件含まれていた²。このプロジェクトは、UpGuardがウェブ経由で誰でも読み取れるテーブルを確認した、Supabaseがホストするデータベース1万6326件のひとつだ。同社はこれを同種の調査として過去最大の研究↗と位置づける^{1 2}。

資金調達に乗ってきた漏えい

この集計が公表されたのは、Supabaseが5億ドルのシリーズF調達↗を完了してから3か月後だ。このラウンドはシンガポール政府投資公社(GIC)が主導し、プレマネー換算の企業価値は100億ドルだった^{3 4}。調達ラウンドを駆動したエンジンと漏えいを生んだエンジンは、同じ機械である。データベースの起動数は1年で600%増え、新規データベースの6割超は何らかのAIツールが起動している³。プラットフォーム上で開発する開発者は現在、1000万人近くに達している³。

デフォルトでセキュア、ツケは他人に

ビル・ハーマー最高情報セキュリティー責任者(CISO)は、Supabaseのプロジェクトは「デフォルトでセキュア」であり、「プロジェクトの設定を管理するのは顧客自身だ」と述べた¹。同社のセキュリティーページ↗も同じ線引きを示す。インフラの安全はSupabaseが、行レベルセキュリティーのポリシー、APIキー、アクセス制御の安全は顧客が担う⁵。落とし穴はSupabase自身のドキュメント↗にある。RLSのないテーブルは「権限を持つ任意のロールから読み書き可能」であり、既存プロジェクトで新規に作成する公開テーブルは、匿名ロールを含む3つのロールすべてに全権限が付与された状態で始まると明記されている⁶。調査によれば、RLSの初期設定が対象とするのはテーブルエディタで作成したテーブルで、コーディングエージェントが構築に使うAPI経由で作成したテーブルは含まれない²。評価額はスピードに値をつけた。だが、記録のどこにも、漏えいに値をつけたものはない。

テーブルの中身

公開状態にあったデータベースの半数超に、個人データの兆候があった。氏名、住所、電話番号が並び、数は少ないもののパスワードや認証トークンも含まれていた¹²。米国のバレーパーキング業者は、約7万8000人の顧客のナンバープレートを公開したままにしていた。カナダ移住を目指す人向けの移住支援コンサルタントは、5000件近くの記録のうち884件でパスワードを平文のまま残した。アフリカのある領事館のデータベースには2万5000人分の情報が並び、一人ひとりの収容先を記す項目まであった²。それ以前の小規模な調査でも、同じ実態が規模を増しながら発見され続けていた²。

二つの陣営、誰も払わない代償

Supabase側には筋の通った言い分がある。誤設定のデータベースはAI以前から存在する。問題が判明すれば影響のある顧客に通知する。セキュリティー体制はSOC 2、HIPAA、ISO 27001の認証を取得済みだ¹⁵。一方、UpGuardが通知したのはアプリの所有者だ。テーブルに記録された当人たちはその連絡の輪の外にいる。公開された情報が本人たちにいくらの代償を強いるか、それに値をつけた数字は記録のどこにもない²。UpGuard自身の算式がリスクをこう定式化する。漏えいは、誤設定の起こりやすさと利用者基盤の大きさの積で決まる²。注目は次の調査だ。1万6326件がピークだったのか、基準値だったのかを決めるのは、それだからだ。