DEV Communityに掲載されたレポートは、24,664個のAI製アプリがSupabaseデータベースを通じて、パスポート番号を含む80,000件以上のユーザーレコードを漏洩したとされる「$0のセキュリティ侵害」について説明している。このAI製アプリのデータ漏洩Supabase事例は、開発のスピードとユーザーデータの安全性は同じものではないという有用な reminder である。

出典に関する注記：私たちが利用できるソース資料は、レポートの見出しと短い要約に限られている。誰が露出を特定したのか、どのようにアプリが見つかったのか、どの特定のアプリが影響を受けたのかは示されていない。本記事はレポートが述べている内容に限定し、一般的な背景はそのように明確にラベル付けしている。

設定ミスのあるデータベースがどのようにユーザーレコードを露出したか

レポートのタイトルによると、露出したレコードはSupabaseをバックエンドとして使用したAIツールで構築されたアプリに由来する。見出しはまた、このインシデントを実行するのに費用がかからなかったと位置付けており、洗練されたハッキングが関与していないことを示唆している。ソースはその仕組みを詳述していない。

一般的な背景として（レポートから引用したものではない）：Supabaseはホスト型データベースサービスであり、そのデータへのアクセスは通常、アプリを構築する人が設定するルール（行レベルセキュリティなど）によって制御される。これらのルールが欠落しているか、許可しすぎている場合、データは見るべきでない人々によって読み取り可能になる可能性がある。これは侵入を必要とする欠陥ではなく、設定の問題である。

なぜバイブコーディングがこのセキュリティギャップを生むのか

「バイブコーディング」とは、AIツールに欲しいものを説明し、生成されたコードをほとんど手動レビューなしで受け入れることでソフトウェアを構築することを指す。アイデアを数時間で動作するアプリに変えることができる。トレードオフは、アプリが動作しているように見えるとき、セキュリティ設定が見落とされやすいことである。

アプリは完璧に見え、完璧に動作することができる一方で、そのバックエンドはどこを見ればよいか知っている人なら誰でもアクセスできる状態にある。画面上には何も、ユーザーに、そして多くの場合ビルダーにさえ、何かが間違っていることを伝えない。これが、洗練されたインターフェースがデータの保護がいかに慎重に行われているかの指標として不十分である理由である。

これはまた、AIツールがリスクの全体像を変えているというより広いパターンにも当てはまる。Auroraランサムウェアギャングが攻撃にAIコーディングエージェントを展開する方法や、日本のランサムウェア攻撃が増加する中でQilinがAIツールを使用する方法に関する私たちの報道は、AIが攻撃者側でも作業を加速させていることを示している。

どのようなデータが露出し、誰がリスクにさらされているか

レポートによると、露出したレコードは80,000件以上で、パスポート番号が含まれている。パスポートの詳細は、人が共有できる最も機密性の高い識別情報の一つである。なぜなら、それらは再発行が困難であり、名前、メールアドレス、生年月日と組み合わせると身元詐欺を支える可能性があるからである。

ソースは、他にどのフィールドが露出したか、影響を受けたユーザーがどの国にいるかを特定していない。比較的新しいアプリにサインアップして身分証明書や個人情報をアップロードした人は、特にそのアプリが小規模または無名の開発者によるものであった場合、注意を払う価値のあるグループに潜在的に属している。

これがあなたにとって何を意味するか

通常、アプリがデータベースをどのように保護しているかを確認することはできないため、実践的な防御は、何を渡すかをコントロールすることである。

  • 必要性を問う。 アプリがパスポート番号やIDスキャンを求める場合、そのサービスが本当にそれを必要としているかどうかを尋ねよう。
  • 開発者を確認する。 名前のある会社、プライバシーポリシー、サポートへの連絡方法を探そう。これらが一切ない真新しいアプリには注意しよう。
  • 固有の認証情報を使用する。 新しいサービスごとに別のパスワードとメールエイリアスを使用することで、あるレコードセットが露出した場合の被害を限定できる。
  • 任意フィールドをスキップする。 必須でない限り、電話番号、住所、ドキュメントのアップロードは省略しよう。
  • 後続の詐欺に注意する。 露出したレコードは、PaidworkのユーザーレコードがHIBPに追加されたときに見られたように、フィッシングや詐欺に再利用されることが多い。

アプリを審査し、共有するものを制限する方法

新しいアプリでアカウントを作成する前に、少し時間を取ってレビューしよう。データの保存方法を説明し、確立された実績のあるサービスを好もう。アプリが身分証明書を求める場合、より確立された代替手段が存在するかどうかを検討しよう。

自分でアプリを構築する場合、一般的なアドバイスは、生成されたコードを信頼するのではなく、起動前にデータベースアクセスルールをレビューし、未認証の訪問者としてアプリをテストしてどのデータに到達可能かを確認することである。

まとめ

報告されたAI製アプリのデータ漏洩Supabaseインシデントは、動作するアプリが必ずしも安全なアプリではないことを示している。まず、Have I Been Pwnedなどのサービスを使用して、あなたのメールアドレスが既知の侵害に含まれているかどうかを確認し、含まれているアカウントのパスワードを変更しよう。次に、すべての新しいアプリには必要最小限の個人データのみを提供しよう。露出したレコードがどのように利用されるかを見るには、23Mのメールと銀行データを漏洩したPaidwork侵害に関する私たちの報道をお読みください。