PingCAP确认遭入侵，攻击者称窃取10.6TB数据

PingCAP确认其内部系统曾遭到未经授权访问，部分数据和源代码被复制。攻击者组织FulcrumSec声称窃取约490万份文件、总计10.6TB数据，涉及约18万条租户组织记录、超过11万个API Key、约2065万条客户SQL语句及数百个私有代码仓库，并已公开首批约200GB数据。上述规模尚未得到独立验证。

根据攻击者披露，相关数据还包括403262个邮箱地址、10200万条数据库网关连接记录、413个私有仓库，以及Jira工单、CRM资料、云资源配置和成本信息。其称攻击者利用代码仓库中的GCP服务账号密钥和Azure凭据，建立TiDB Cloud控制平面数据库复制通道，并在9月8日至30日期间每六小时导出一次数据，共执行88次；这些细节目前同样无法确认。

PingCAP表示，9月9日至10月7日期间，攻击者使用被盗服务账号凭据访问部分内部系统，公司于10月7日发现异常并开始禁用相关凭据。已确认被导出的信息包含TiDB Cloud用户姓名、邮箱、组织与项目关系、SQL编辑器文本、错误信息，以及客户联系人、合同、订单、定价、付款条件和账单配置等商业数据。

API Key是否可直接使用仍存在分歧。FulcrumSec声称获得115308个明文API Key，其中42612个仍有效；PingCAP则称相关数据表中的API Key经过加密。外部机构测试样本后未能直接将其作为API Key使用，但其他凭据及客户支持材料中的敏感信息是否泄露，仍在调查。当前没有证据显示攻击者执行过生产系统命令、维持持久访问，或存储在TiDB中的客户数据受到影响。

10月20日发布的中国区说明称，截至当时未发现中国区客户生产数据库及业务数据受影响，事件也不是由TiDB内核漏洞引起。PingCAP表示，截至10月14日已使所有确认被盗凭据失效并封堵访问路径；外部机构在10月12日至13日报告的四个漏洞已于10月14日修复并完成复测，公司同时清理过度授权、增加云存储访问日志，并加强密钥轮换、代码扫描和异常导出告警。

目前，PingCAP仍在确认受影响客户和数据类型，并调查修复前是否发生进一步利用，后续将直接通知具体受影响客户。事件表明，即便客户数据库本身未被访问，云数据库控制平面、SQL历史、运维日志和支持系统遭入侵，也可能暴露大量敏感信息并为后续攻击提供线索。