PingCap TiDBの漏洩

概要

PingCAP の TiDB Cloud が大規模に侵害され、 10.6TB もの機密データが流出。 顧客情報、APIキー、財務データ、ソースコード など幅広い情報が漏洩。 多くの有名企業 のデータや認証情報も含まれ、深刻な二次被害リスク。 内部で既知の脆弱性 が放置されていた証拠も公開。 サポート運用やJira を通じたクロステナント情報漏洩も判明。

PingCAP Inc. / TiDB Cloud 大規模情報漏洩の全貌

• 総流出量10.6TB、 4,901,203ファイル、 88回連続6時間ごとのエクスポート で検知なし
• GCPストレージバケット約50個、 5億3,380万行のBigQueryデータウェアハウス
• 180,046組織、 403,262ユニークメール、 115,308件の平文APIキー（42,612件アクティブ）
• 2,064万件の顧客SQLステートメント、 1億200万件超のゲートウェイ接続ログ
• 5,036,738件の顧客サーバーIP、 377,446件のJira課題、 433,928件のCRM連絡先
• 92GBのAWSコストデータ、 413件のプライベートソースリポジトリ
• PingCAPのクラウド運用・財務・分析・ソースコード・顧客接続履歴 など事業の中核データを全て取得

流出した具体的なデータ

• コントロールプレーン全体 （metadb）を完全複製
  • 180,046組織、 292,276ユーザー （166,108実名）、 388,861プロジェクト
  • 3,448,054サーバーレスクラスター、 16,299専用クラスター
  • 115,308件のAPIキーペア（平文）、 1,809件の外部DBエンドポイント
  • 290件の顧客AWSアカウントID、85件のGCPプロジェクトID
• 顧客のSQLステートメント2,064万件 （アプリ設計・ビジネスロジック含む）
• ゲートウェイアクセスログ （全顧客の接続量、アプリサーバーIP、クライアント種別）
• 57か月分のAWS請求データ （総額1億ドル超、割引やコスト構成も明示）
• HubSpot, Stripe, NetSuite, AWS Marketplace, 中国CRM の商談・売上・契約データ

ソースコード・暗号化・脆弱性

• 413件のソースリポジトリ （請求エンジン、認証サービス、暗号ライブラリ等）
  • 暗号化の実装不備 ：IVが静的・全顧客のDBパスワードが1つの設定で復号可能
  • 管理者権限バイパス や 認証不備 も発覚

顧客リストと被害範囲

• Booking.com, Shopee, CAPCOM, Colopl, TOPPAN, Mercari, PayPay, SoftBank, DMM, AEON, Square Enix, Konami, BANDAI NAMCO, Airbnb, Pinterest, Databricks など著名企業多数
• VPC CIDR、クラスター情報、エンドポイント、運用チケットに貼られた認証情報 も流出

既知の脆弱性放置

• 2022年のJiraチケット（SECURITY-22） で「全ロールがクラスタrootパスワードを無条件リセット可能」と記録
• rootアカウントの権限過大 による重大リスクを自社で認識しつつ未対応

サポート運用によるクロステナント情報漏洩

• Jiraチケットやサポートログ に顧客のAWS/GitHub/AI APIキー・接続文字列等を貼り付け、第三者に拡散
  • AWS管理者キーやGitHub管理トークン など依然有効な認証情報も含む
  • サポート運用の不備 で他社の重大な機密情報まで漏洩

顧客別の収益・契約情報

• ARRログやSalesforce連携 で月次売上・契約額を全顧客単位で記録
• 中国CRM では「中国人寿」など大口顧客の商談メモも流出

---

PingCAP のクラウドサービス運用・セキュリティ体制の重大な欠陥、 多層的な情報漏洩、および 顧客企業への甚大な二次被害リスク が明らかになった事案。