DEV Community에 게시된 보고서는 24,664개의 AI 제작 앱이 Supabase 데이터베이스를 통해 여권 번호를 포함한 80,000건 이상의 사용자 기록을 유출했다고 주장하는 "0달러 보안 침해" 사례를 설명합니다. 이 AI 제작 앱 데이터 유출 Supabase 사례는 개발 속도와 사용자 데이터 안전이 같은 것이 아니라는 점을 상기시켜 주는 유용한 사례입니다.

출처에 관한 참고 사항: 우리가 이용할 수 있는 원자료는 보고서의 헤드라인과 짧은 요약으로 제한됩니다. 누가 이 노출을 발견했는지, 앱들이 어떻게 발견되었는지, 또는 어떤 특정 앱들이 영향을 받았는지는 알려주지 않습니다. 이 기사는 보고서가 진술하는 내용에만 충실하며, 일반적인 배경 정보는 그러한 것으로 명확히 표시합니다.

잘못 구성된 데이터베이스가 사용자 기록을 노출한 방식

보고서 제목에 따르면, 노출된 기록은 Supabase를 백엔드로 사용한 AI 도구로 제작된 앱에서 비롯되었습니다. 헤드라인은 또한 이 사건을 실행하는 데 비용이 전혀 들지 않았다고 표현하는데, 이는 정교한 해킹이 관련되지 않았음을 시사합니다. 원자료는 구체적인 작동 방식은 자세히 설명하지 않습니다.

일반적인 배경 정보(보고서에서 인용한 것이 아님): Supabase는 호스팅 데이터베이스 서비스이며, 해당 데이터에 대한 접근은 일반적으로 앱을 만드는 사람이 설정한 규칙(예: 행 수준 보안)에 의해 제어됩니다. 이러한 규칙이 없거나 지나치게 허용적이면, 데이터는 그것을 보아서는 안 되는 사람들이 읽을 수 있게 됩니다. 이는 침입이 필요한 결함이라기보다는 구성 문제입니다.

바이브 코딩이 이러한 보안 격차를 만드는 이유

"바이브 코딩"은 AI 도구에 원하는 것을 설명하고 수동 검토를 거의 하지 않은 채 생성된 코드를 수용하여 소프트웨어를 만드는 것을 의미합니다. 이는 아이디어를 몇 시간 만에 작동하는 앱으로 바꿀 수 있습니다. 그 대가는 앱이 작동하는 것처럼 보일 때 보안 설정을 간과하기 쉽다는 것입니다.

앱은 겉보기와 동작이 완벽해 보일 수 있지만, 백엔드는 어디를 봐야 할지 아는 사람이라면 누구나 열람할 수 있는 상태일 수 있습니다. 화면에는 사용자에게, 그리고 흔히 제작자에게조차도 문제가 있다는 것을 알려주지 않습니다. 이것이 세련된 인터페이스가 데이터가 얼마나 신중하게 보호되는지를 보여주는 좋지 않은 지표인 이유입니다.

이는 또한 AI 도구가 위험 구도를 변화시키는 더 넓은 패턴과도 맞닿아 있습니다. Aurora 랜섬웨어 갱단이 공격에 AI 코딩 에이전트를 배치하는 방법과 일본 랜섬웨어 공격이 증가하면서 Qilin이 AI 도구를 사용하는 방법에 관한 우리의 보도는 AI가 공격자 측에서도 작업 속도를 높이고 있음을 보여줍니다.

어떤 데이터가 노출되었고 누가 위험에 처해 있는가

보고서는 노출된 기록이 80,000건 이상이며 여권 번호를 포함한다고 밝힙니다. 여권 정보는 한 개인이 공유할 수 있는 가장 민감한 식별자 중 하나인데, 교체하기 어렵고 이름, 이메일 주소, 또는 생년월일과 결합될 경우 신원 사기에 악용될 수 있기 때문입니다.

원자료는 어떤 다른 필드가 노출되었는지 또는 영향을 받은 사용자들이 어느 국가에 있는지 명시하지 않습니다. 최신 앱에 가입하여 신분 증명서나 개인 정보를 업로드한 사람이라면 누구든 주의를 기울일 가치가 있는 집단에 잠재적으로 속하며, 특히 그 앱이 소규모이거나 알려지지 않은 개발자로부터 나온 경우에는 더욱 그렇습니다.

이것이 당신에게 의미하는 것

당신은 보통 앱이 데이터베이스를 어떻게 보호하는지 볼 수 없으므로, 실질적인 방어책은 당신이 넘겨주는 정보를 통제하는 것입니다.

  • 필요성을 의심하라. 앱이 여권 번호나 신분증 스캔을 요구한다면, 그 서비스가 그것을 진정으로 필요로 하는지 물어보라.
  • 개발자를 확인하라. 이름이 있는 회사, 개인정보 처리방침, 지원팀에 연락할 방법이 있는지 찾아보라. 이러한 것이 전혀 없는 최신 앱은 주의하라.
  • 고유한 자격 증명을 사용하라. 새로운 서비스마다 별도의 비밀번호와 이메일 별칭을 사용하면 하나의 기록 집합이 노출될 경우 피해를 제한할 수 있다.
  • 선택적 필드는 건너뛰라. 전화번호, 주소, 문서 업로드는 요구되지 않는 한 생략하라.
  • 후속 사기에 주의하라. 노출된 기록은 종종 피싱과 사기에 재사용되며, 이는 Paidwork 사용자 기록이 HIBP에 추가되었을 때 볼 수 있다.

앱을 검증하고 공유하는 정보를 제한하는 방법

새로운 앱으로 계정을 만들기 전에 잠시 시간을 내어 검토하라. 데이터를 어떻게 저장하는지 설명하고 확립된 실적을 가진 서비스를 선호하라. 앱이 신분 증명서를 요구한다면, 더 확립된 대안이 존재하는지 고려하라.

앱을 직접 만든다면, 일반적인 조언은 생성된 코드를 신뢰하기보다 출시 전에 데이터베이스 접근 규칙을 검토하고, 인증되지 않은 방문자로서 앱을 테스트하여 어떤 데이터에 접근할 수 있는지 확인하라는 것입니다.

핵심 요점

보고된 AI 제작 앱 데이터 유출 Supabase 사건은 작동하는 앱이 반드시 안전한 앱은 아니라는 것을 보여줍니다. Have I Been Pwned와 같은 서비스를 사용하여 당신의 이메일이 알려진 유출 사례에 나타나는지 확인하는 것부터 시작하고, 나타난다면 해당 계정의 비밀번호를 변경하라. 그런 다음 모든 새로운 앱에 필요한 최소한의 개인 데이터만 제공하라. 노출된 기록이 어떻게 사용되는지 보려면, 23M개의 이메일과 은행 데이터를 유출한 Paidwork 침해 사건에 관한 우리의 보도를 읽어보라.