PingCAP 遭大规模数据泄露！黑客声称窃取 10.6TB 数据，涉及 18 万条组织记录

近日，开源分布式数据库 TiDB 背后的公司 PingCAP 遭遇严重安全事件。根据安全威胁情报平台 Hackmanac 在 X 上发布的信息，一个名为 FulcrumSec 的黑客组织公开宣称，已从 PingCAP 窃取约 10.6TB 数据，涉及约 18 万条租户组织记录、超过 11 万个 API Key、数千万条客户 SQL 语句及数百个私有代码仓库。

根据 FulcrumSec 发布的披露材料，攻击者声称共窃取约 490 万个文件，总计 10.6TB，涉及 PingCAP 的云数据库控制平面、内部代码仓库、客户支持系统、业务系统以及云基础设施相关数据。

115,308 个客户 API Key，其中 42,612 个被声称仍处于有效状态；

攻击者还声称，泄露数据涉及多家知名企业的租户信息及云资源配置，并已公开首批约 200GB 数据，后续还将继续释放。

PingCAP 在官方声明中确认，2026 年 9 月 9 日至 10 月 7 日期间，攻击者利用被盗的服务账号凭据访问了部分内部系统，并复制数据、获取源代码。公司于 10 月 7 日发现事件，当天开始禁用相关凭据。

FulcrumSec 则披露了更具体的攻击过程。按照其说法，攻击者利用 PingCAP 代码仓库中发现的 GCP 服务账号密钥及 Azure 凭据，建立了 TiDB Cloud 控制平面数据库的数据复制通道。

攻击者声称，从 9 月 8 日至 30 日，该通道每六小时导出一次控制平面数据，累计执行 88 次，期间未触发安全检测。如果这一说法属实，意味着攻击者可能在较长时间内持续获取租户、用户、集群和凭据等关键元数据，而非仅完成一次性数据窃取。

此外，攻击者还公布了一份据称来自 PingCAP 内部 Jira 系统、创建于 2022 年的安全工单。工单描述了组织内低权限角色可能重置集群 root 密码的权限问题。不过，该工单的真实性、相关漏洞是否已经修复，以及是否与此次攻击有关，目前均未获得独立确认。

在官方安全声明中，PingCAP 确认，已导出的记录包含 TiDB Cloud 用户姓名、电子邮箱、组织及项目关联信息，以及 SQL 编辑器文本和错误信息。部分记录还包含组织、项目及集群标识。此外，客户联系人、合同条款、订单、定价、付款条件及账单配置等商业信息也受到影响。

FulcrumSec 声称获得了超过 11 万个明文 API Key，其中超过 4 万个仍有效。而 PingCAP 表示，已导出的相关数据表中包含的是加密后的 TiDB Cloud API Key。外部安全调查机构测试了一个由调查人员持有的样本，发现其无法直接作为 API Key 使用。

不过，PingCAP 同时承认，是否还有其他可用凭据遭到泄露，仍需进一步调查；攻击者关于客户支持材料中存在凭据的说法，也尚未完成核实。PingCAP 表示，外部事件响应机构在已审查的生产系统中，没有发现攻击者执行命令或维持持久访问的证据。目前也没有证据表明存储在 TiDB 中的数据受到影响。

但这一调查结论并未否认已经确认的数据泄露事实。SQL 编辑器记录、控制平面元数据以及客户支持材料本身，也可能包含敏感信息。

10 月 12 日至 13 日，外部安全机构报告了四个漏洞。PingCAP 于 10 月 14 日完成修复，并通过第三方复测。此外，公司已清理部分跨云项目的过度授权，增加云存储访问日志，并计划进一步加强凭据轮换、代码与密钥扫描、审计日志及异常数据导出告警。

目前，PingCAP 仍在逐一确认受影响客户及数据类型，同时调查漏洞修复前是否存在进一步利用行为。公司表示，将在确定客户具体影响范围后直接通知相关客户。

此次事件也暴露出云数据库服务的一类潜在风险：即使攻击者没有直接访问客户数据库中的数据，云服务控制平面、SQL 查询历史、运维日志和支持工单等外围系统一旦失守，仍可能泄露大量客户信息，甚至为进一步攻击提供线索。

对于 PingCAP 而言，事件的最终影响仍取决于后续调查，尤其是攻击者公布的 API Key 是否真实可用、客户生产凭据是否泄露，以及是否已经发生针对下游客户的进一步攻击。