北京
一个自称 FulcrumSec 的网络勒索组织声称，从 PingCAP 内部系统窃取了 10.6 TB 数据。PingCAP 已确认存在未经授权的访问，以及源代码和客户相关数据被窃取，但该组织声称的规模尚未得到独立验证。
PingCAP 是开源分布式 SQL 数据库 TiDB 背后的公司，TiDB 兼容 MySQL。按照该组织的说法，被拿走的东西包括 TiDB Cloud 控制面记录、客户 SQL 语句、API 密钥、连接日志、账单信息、内部文档，以及 413 个私有源代码仓库。
FulcrumSec 声称访问在数周内未被发现，部分泄露的凭证可能通向客户系统。该组织在声明中写道：
- 掌握完整的 TiDB Cloud 控制面，及其计费和财务系统、GCP 存储系统、AWS 成本与账单系统；
- 掌握其 Jira、CRM、分析系统和源代码；
- 掌握一份长达四年的日志，记录每个客户对其产品的每一次连接，包含客户应用服务器的 IP 地址。
PingCAP 的事故报告给出了另一面的说法。报告称，一家外部事件响应公司审查了 PingCAP 的生产系统，在受审系统中没有发现攻击者执行命令或维持持久访问的证据。报告同时写明，这一结论不改变下文所述的数据暴露情况；在外部律师和第三方取证专家的支持下，没有证据表明存储在 TiDB 中的数据受到影响。
PingCAP 确认，被导出的记录包含用户名和电子邮箱地址、组织与项目关联信息，以及 SQL 编辑器的文本和错误信息，部分记录还包含组织、项目和集群标识符。
攻击者则声称拿到了 metadb 的完整副本，其中包含约 18 万个租户组织、近 30 万条用户记录（含 16.6 万个真实姓名）、超过 40 万个不重复邮箱地址。该组织还称，数据中有 11.5 万对控制台 API 密钥，其中超过 4 万对处于活跃状态，最新的一对据称创建于其声称结束访问的数小时之前。该组织还表示，从客户迁移任务中获得了约 1800个外部数据库端点，包括客户 MySQL 和 Aurora 主机的 root 与管理员账户。
FulcrumSec 还指控 PingCAP 工程师把客户的生产凭证粘贴进 Jira 工单，并称完整复现了三份日志，对应工单包含在首批泄露内容中。42Sec 董事兼创始人 Kim Barthel 对此评论：
“PingCAP 这次泄露其实不是一个数据库的故事。它是一个服务账号密钥的故事……PingCAP 说没有证据表明 TiDB 本身存储的客户数据被触碰，这很好。但看看真正泄露了什么。拿到这些的人知道你的工程师是谁、你付多少钱、合同何时续签、你的 schema 长什么样。这些正好凑成一封你会真的相信的钓鱼邮件。”
这起事件指向一个更普遍的问题：云服务商可能把敏感客户数据无意间留在查询历史、支持工单和诊断日志里，即便客户自己的数据库没有被攻破，客户依然处于暴露状态。在面向客户的动作建议中，PingCAP 建议客户更换活跃的 TiDB Cloud 管理 API 密钥，并对定向钓鱼攻击保持警惕。
在 Hacker News 的一个热门讨论帖中，从业者对 PingCAP 的回应提出质疑。有人强调攻击者关于“一个多月内反复导出控制面数据库而未触发检测”的指控。用户 dherls 写道：“如果属实，这是 PingCAP 下一级别的无能。攻击者居然搭了一个月的复制管道？！”
用户 xKingfisher 则提到近期一份新闻稿《TiDB 开放源代码接受独立安全审查，强化企业信任计划》，评论称：“紧跟在 NCC 的安全审计之后发生这件事，对各方都相当难堪。”
据称泄露的记录还涉及 Booking.com、Shopee、Airbnb、Pinterest、Databricks、Atlassian、Fujitsu、SoftBank 和百度等公司相关的数据，但这并不确认这些组织已被攻破。例如报告中提到的加密货币交易所 Bitget 表示，其调查没有发现用户数据被暴露的证据。
FulcrumSec 的首批发布包含五个 tar.gz 压缩包，压缩后共 128.3 GB，解压后略超 200 GB，而其声称掌握的数据总量为 10.6 TB。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
