UpGuardの調査で、16,326件のSupabaseデータベースが読み取り可能なテーブルを公開していることが判明

UpGuardは2026年9月25日に研究を公表し、Supabaseプラットフォーム上にホストされている16,326件のデータベースが公開ウェブ上で読み取り可能なテーブルを露出していることを特定しました。これは同社がこれまでに実施した中で最大規模の調査とされています。

本調査はGreg Pollock（UpGuardのリサーチ・インサイト部門ディレクター）が執筆しました。調査によると、露出したデータベースの半数以上で何らかの個人識別情報の兆候が確認され、より少ない割合でパスワードや認証トークンが含まれ、極めて少数では信用カード情報らしきデータが見つかっています。より一般的には、サイトが決済システムを利用している兆候が研究者により検出されましたが、報告書ではこれ自体は機密情報ではないものの、攻撃者が金融取引に介入できるケースとしてフラグが付けられたと述べられています。

Supabaseはホスト型Postgresデータベースをサービスとして提供しており、報告書によればAI支援の「vibe coding」で構築されたウェブアプリケーションの主要コンポーネントとなっています。UpGuardはSupabaseの評価額が2026年6月時点で$10 billionに達したと述べ、Claude Codeが最も推奨するデータベース製品であると位置付けています。重大な露出が確認されたケースでは、UpGuardはアプリケーション所有者に通知したとしています。

調査方法

LovableやReplitといったvibe-codingプラットフォームの透かしが付いたアプリをカタログ化するのではなく、研究者は独自のプライマリドメインで運営される単独のウェブサイトを対象としました。報告書によれば、このアプローチはClaude CodeやOpenAIのCodexといったAIコーディングエージェントで構築されたサイト、そして顧客データを収集する実在する事業者のサイトを捕捉することを目的としています。

報告書によれば、Supabaseを使用しているサイトは、公開されているJavaScriptファイル内のSupabaseキー名やデータベースアドレスを検索することで指紋付けが可能です。最も有用だった二つのデータソースは、ウェブ全体のテクノグラフィック指紋付けを行うBuiltWithと、BigQuery上のChrome UX Reportデータセットで、後者はデータベースアドレスやAPIキーといったSupabaseの指標を検索できる生のJavaScriptファイルを提供します。

この二つの手法を組み合わせ、チームはSupabase使用の指標がある約30万件のユニークドメインを収集し、各ドメインに対して”users”テーブルを問い合わせました。”users”は一般的なテーブル名であると考えたためです。各データベースは次の三つの応答のいずれかを返しました：アクセス可能なデータがない、 “users”テーブルは存在しないがアクセス可能なテーブル名のヒントがある、 または結果ページが返される。候補セットの規模が大きいため、研究者は全行を読むのではなくテーブルスキーマを用いて潜在的に露出しているデータの種類を評価し、さらにAIモデルで各ビジネスモデルをB2B、B2C、ハイブリッド、またはN/Aに分類しながらフロントページのコンテンツをスクレイピングしました。

記録されたデータ露出

露出したスキーマに実際のデータが含まれていることを検証するため、研究者はメタデータが有意な露出の可能性を示すデータベースのサブセットを調査しました。報告書ではいくつかの事例が詳述されています。

露出したデータベースの一つは、フィリピンのワンタイムパスコードサービスに結び付いており、SIMファームと関連していました。報告書では、この操作は多数の電話SIMを用いて様々なプラットフォームで偽アカウントを登録するサイバー犯罪サプライチェーンの一部と説明されています。このデータベースには、メールアドレス、電話番号、ウォレット残高を持つ2,000人以上のユーザーと、ワンタイムパスコード、送信者ID、SIMコードを含む100,000通以上のSMSメッセージが格納されていました。

報告書によれば、メッセージの95％がパスコードであり、サンプリングされた2,000〜2,400件のメッセージは実際の個人間テキストで、ほぼすべてがフィリピンにおけるライドシェアのドライバーと乗客間の通信でした。これらの人物はSIMファームとは無関係であり、膨大な電話番号が通過することによって露出したと報告されています。

別のデータベースは、米国北東部に拠点を置くバレサービスで、SupabaseをCRMバックエンドとして使用していました。このデータベースは10万人以上の顧客情報を露出させ、各顧客は電話番号を持ち、約43,000件はメールアドレスと氏名、約78,000件はナンバープレート番号を含んでいました。また、各顧客の来店履歴、ライフタイムバリュー、チップ履歴、自由記入のメモ欄も含まれています。スタッフテーブルには665件の従業員レコードがあり、メールアドレス、電話番号、プッシュトークンが格納されていました。露出したメールアドレスの約11％（4,560件）はサードパーティの企業ドメインに属し、大学やFortune 500企業などの地域的に特定可能な雇用主が含まれていると報告されています。

3番目の設定ミスされたデータベースには、アフリカの国家政府が運営する領事館向けの個人情報と住所を持つ25,000人のユーザーが含まれており、現在居住している緊急住宅の所在地を示すフィールドもありました。UpGuardは、この運営形態の性質上、露出した人物は脆弱な人口に属すると指摘しています。

4番目のデータベースは、カナダへの移住・移民コーチングサービス向けで、約5,000件のユーザーレコードを保持していました。ほぼすべてのレコードに氏名、メールアドレス、電話番号、生年月日が含まれ、さらに884件のレコードには平文パスワードも保存されていたと報告されています。

過去の研究と露出パターン

2025年3月、開発者のMatt Turnerは、vibe-codingプラットフォームのLovableが作成したSupabaseデータベースで広範な設定ミスが発生していると報告し、この問題はCVE-2025-48757として追跡されています。報告によると、それ以来、SupabaseはTable Editorインターフェースで作成されたテーブルに対してデフォルトで行レベルセキュリティを有効にしています。APIを通じてプログラム的に作成されたテーブル（コーディングエージェントがSupabaseとやり取りする方法）はデフォルトで保護が有効にならず、データを保護するためには行レベルセキュリティを設定し、認証情報を正しく使用する必要があります。

この調査は、同じ露出ベクトルに関するいくつかの以前の小規模な調査を引用しています。Modern Pentestは107社のY Combinatorスタートアップをスキャンし、28％が個人情報を公開していることを発見しました。Symbiotic Securityは1,072件のvibe-codedアプリをスキャンし、Supabaseの公開鍵を使用してテーブルが読み取れるものが39件あることを確認しました。Escapeは約1,400件のvibe-codedアプリにまたがる175件のデータベースが個人情報を漏洩していることを見つけました。Red Accessは380,000件のURLをスキャンし、5,000件のアクセス可能なアプリを検出し、そのうち2,000件が機密の企業、運用、または個人データを露出していました。2026年2月、WizはAIエージェント向けソーシャルメディアサイトMoltbookの背後にあるSupabaseデータベースが、35,000件のメールアドレスと150万件のAPI認証トークンを漏洩していることを発見しました。

報告によると、これらの設定ミスは特定の地域に集中するのではなく、世界中で発生していますが、深刻度は均一ではありません。ヨーロッパのデータ保護法はより良い実践を促す傾向がある一方、発展途上地域ではデータ漏洩が多くなりがちです。業界別に見ると、eコマースとレストランサイトが個人情報と統合決済システムを扱う可能性が最も高く、無許可のオンラインベッティングサイトはパスワードやその他の認証情報が漏洩する可能性が高いです。サイトが消費者向けサービスかビジネス向けサービスかを宣伝しているかどうかは、露出する可能性のあるデータの種類に差をもたらさないと報告は述べています。

UpGuardは、データ漏洩は技術の設定ミスのしやすさとユーザーベースの規模という二つの要因が掛け合わされた結果であり、人間やAIコーディングエージェントが適切なセキュリティ設定の実装方法を誤解した場合、その影響は世界中のすべての業界・ビジネスモデルに及ぶと結論付けています。