Supabase 데이터 노출이란? 바이브 코딩 앱 설정 오류 정리

무슨 일이 있었나

TechCrunch는 2026년 9월 25일 일부 Supabase 고객사가 다수 이용자의 데이터를 웹에 공개된 상태로 노출하고 있다고 보도했습니다. 노출된 데이터는 별도의 침입 없이 외부에서 접근할 수 있는 상태였습니다.

TechCrunch는 이 사례가 AI로 생성한 코드와 바이브 코딩으로 만든 앱이 제대로 설정·보호되지 않았을 때 이용자 데이터가 새어 나갈 수 있다는 점을 보여 준다고 전했습니다. 즉 공격 기법이 정교해서가 아니라 기본 설정이 빠져서 생긴 노출입니다.

왜 중요한가

Supabase 데이터 노출이 중요한 이유는 같은 유형의 사고가 코드를 직접 쓰지 않은 조직에서도 똑같이 발생할 수 있기 때문입니다. 백엔드 서비스는 기본값이 열려 있는 구간이 있고, 이를 닫는 일은 개발자가 아니라 배포 담당자의 몫으로 남는 경우가 많습니다.

AI 코딩 도구는 동작하는 코드를 빠르게 만들어 주지만, 테이블 접근 권한이나 인증 범위까지 조직 정책에 맞춰 주지는 않습니다. 결과물이 곧바로 돌아가기 때문에 검증 단계가 생략되기 쉽습니다.

보안 사고 분류상 이런 노출은 침해가 아니라 설정 오류로 기록됩니다. 그러나 개인정보가 외부에 공개된 결과는 침해 사고와 다르지 않습니다.

우리에게 어떤 의미인가

보험사·금융권·중소기업 IT 담당자가 지금 확인할 것은 세 가지입니다. 첫째, 사내에서 쓰는 백엔드 서비스의 테이블·스토리지가 인증 없이 조회되는지 외부 망에서 직접 확인합니다. 둘째, 앱이나 웹 프론트엔드에 박혀 배포된 API 키가 읽기·쓰기 권한까지 가지고 있는지 봅니다.

셋째, AI 코딩 도구로 만든 시범 서비스와 사내 도구를 자산 목록에 올립니다. 담당자가 퇴사했거나 부서가 바뀌면서 관리 주체가 사라진 앱이 가장 위험합니다.

설정 점검은 한 번으로 끝나지 않고 배포할 때마다 반복되는 일입니다. 진일의 인프라 서비스는 온프렘과 클라우드 환경의 구성·권한 상태를 정기적으로 확인하는 유지보수를 함께 다룹니다.

용어

바이브 코딩

바이브 코딩은 개발자가 AI에게 자연어로 요구사항을 설명해 코드를 생성하고, 생성된 결과를 크게 손보지 않고 그대로 사용하는 개발 방식이다.

자주 묻는 질문

Q. Supabase를 쓰면 데이터가 자동으로 안전한가요?

A. 아닙니다. TechCrunch가 2026년 9월 25일 보도한 사례에서 데이터 노출의 원인은 Supabase 자체가 아니라 고객사의 설정과 보호 조치 미비였습니다. 백엔드 서비스는 접근 권한을 사용하는 쪽에서 직접 정의해야 합니다.

Q. AI로 만든 앱은 어떻게 점검하나요?

A. 외부 망에서 인증 없이 데이터가 조회되는지 직접 호출해 보는 것이 가장 빠른 점검입니다. 프론트엔드에 포함된 키의 권한 범위, 테이블별 접근 정책, 관리 주체가 남아 있는지를 함께 확인합니다.

출처

• TechCrunch ↗