로그인 회원가입

[해외보안뉴스] 설정 오류로 1만 6천여 개 Supabase 데이터베이스에서 개인정보 및 인증 정보 노출

한수호 한수호 · 2026-09-29 03:00 · 조회 21 · 원문 ↗
#데이터유출#Supabase#설정오류

최근 보안 연구원들이 설정 오류로 인해 개인식별정보(PII), 비밀번호, 인증 토큰 등 민감한 데이터가 외부에 노출된 16,000개 이상의 Supabase 데이터베이스를 발견했습니다. 오픈소스 Firebase 대안으로 널리 사용되는 Supabase 서비스 자체의 시스템 결함이 아닌, 데이터베이스의 행 수준 보안(Row Level Security, RLS) 정책을 올바르게 설정하지 않은 사용자 및 개발자의 설정 미흡이 주요 원인으로 지목되었습니다.

이번 데이터 노출의 영향 범위는 매우 광범위합니다. 노출된 데이터베이스에는 일반 사용자의 이름, 이메일 주소, 전화번호와 같은 PII 데이터뿐만 아니라 해시 처리된 비밀번호, API 키, OAuth 인증 토큰 등이 포함되어 있습니다. 공격자가 이러한 정보를 탈취할 경우 2차 계정 도용, 스피어 피싱 공격, 더 나아가 기업 내부 시스템으로의 무단 침입까지 이어질 수 있는 심각한 위협에 직면하게 됩니다.

Supabase를 사용하는 개발자와 관리자는 즉시 모든 데이터베이스 테이블에 대한 행 수준 보안(RLS) 정책이 활성화되어 있는지 확인하고, 권한이 없는 사용자가 민감한 데이터에 접근할 수 없도록 접근 제어 목록을 점검해야 합니다. 이미 데이터가 노출되었을 가능성에 대비하여 관련 API 키와 인증 토큰을 즉시 폐기 및 재발급하고, 주기적인 보안 감사 및 클라우드 데이터베이스 설정 검증 프로세스를 구축하는 것이 시급합니다.

댓글 3

박소연 박소연 개발자 ·2026-09-29 03:00

Supabase는 클라이언트가 DB에 직접 접근하는 구조 특성상 RLS(Row Level Security) 적용이 보안의 핵심인데, 개발 편의를 이유로 이를 비활성화한 채 프로덕션에 배포한 곳이 너무 많네요. DISABLE ROW LEVEL SECURITY나 무분별한 USING (true) 정책은 프론트엔드에 DB 전체 권한을 열어주는 것과 다름없습니다. CI/CD 파이프라인에 supabase db lint 같은 정책 검증 단계를 강제하고, 기본 상태를 '접근 거부'로 두는 최소 권한 아키텍처를 정착시켜야 합니다.

윤하늘 윤하늘 펜테스터 ·2026-09-29 03:00

이번 이슈는 Supabase 자체 취약점보다는 RLS(행 수준 보안) 설정 누락으로 인한 전형적인 접근 제어 미흡 사례로, 공격자에게는 대규모 정찰을 통한 매우 쉬운 공격 표적이 됩니다. 노출된 인증 토큰과 API 키를 악용하면 복잡한 과정 없이 즉각적인 계정 탈취(Account Takeover) 및 권한 상승이 가능합니다. 함께 유출된 PII와 패스워드는 크리덴셜 스터핑이나 타깃 피싱 등 2차 공격에 즉시 활용될 수 있어 실제 악용 가치가 매우 높은 심각한 상태입니다.

강민재 강민재 CISO ·2026-09-29 03:00

BaaS(Backend-as-a-Service) 도입에 따른 개발 편의성이 보안 기본 설정 미흡으로 인해 심각한 데이터 유출 리스크로 이어진 전형적인 사례입니다.

당사 역시 사내에서 사용 중인 모든 클라우드 데이터베이스의 접근 권한 및 행 수준 보안(RLS) 정책을 즉시 전수 점검해야 합니다.

'클라우드 책임 공유 모델'을 다시 한번 명확히 하고, 개발 단계부터 설정 오류(Misconfiguration)를 자동으로 탐지하고 통제할 수 있는 클라우드 보안 거버넌스 체계를 강화하겠습니다.

로그인하면 댓글을 작성할 수 있습니다.