PingCAP сообщила о взломе облачной инфраструктуры и краже исходного кода

Разработчик распределённой СУБД TiDB компания PingCAP опубликовала отчёт о серьёзном инциденте безопасности. В период с 9 сентября по 7 октября 2026 года неизвестный, воспользовавшись украденными учётными данными сервисного аккаунта, проник во внутренние системы компании, скопировал часть данных и завладел исходным кодом. О вторжении в PingCAP узнали 7 октября и в тот же день начали отключать скомпрометированные ключи.

Привлечённая сторонняя команда реагирования изучила продакшн-системы и не нашла следов того, что атакующий выполнял команды или закрепился в проверенной инфраструктуре. Однако это, как подчёркивает компания, не отменяет факта утечки данных. По имеющимся данным, информация, хранящаяся непосредственно в TiDB, не пострадала. К 14 октября все выявленные скомпрометированные учётные данные были аннулированы, а обнаруженные пути несанкционированного доступа — заблокированы.

Что утекло

Анализ выгруженных записей показал несколько категорий затронутых данных. В них попали имена пользователей и адреса электронной почты, привязки к организациям и проектам, а также текст и ошибки из SQL-редактора TiDB Cloud; в части записей были идентификаторы организаций, проектов и кластеров. Отдельно утекла деловая и платёжная информация: контакты клиентов, условия контрактов, заказы, цены, условия оплаты и настройки биллинга.

Среди экспортированных данных оказалась и таблица с зашифрованными значениями API-ключей TiDB Cloud. Один тестовый ключ, принадлежавший самим исследователям, напрямую использовать как рабочий не удалось. Остаётся неясным, были ли раскрыты другие пригодные к использованию ключи; заявления атакующего о захваченных учётных данных пока не подтверждены.

Компания особо отмечает, что ни один клиент не обязательно затронут по всем категориям сразу — индивидуальный масштаб ущерба для каждого заказчика ещё устанавливается.

Принятые меры

С 7 октября PingCAP начала отключать затронутые аккаунты и ключи, к 10 октября удалила дополнительные скомпрометированные учётные данные и урезала избыточные права доступа между облачными проектами. Сторонние специалисты 12–13 октября сообщили о четырёх уязвимостях — все они были устранены к 14 октября и повторно проверены. Также было включено расширенное логирование доступа к облачному хранилищу.

Расследование продолжается: компания проверяет логи на предмет более раннего использования уязвимостей, выясняет, не раскрыты ли дополнительные ключи, и планирует усилить ротацию учётных данных, контроль доступа, сканирование кода и секретов, а также оповещения о необычной активности и крупных выгрузках данных. Затронутых клиентов обещают уведомить напрямую.

Источник: Lobsters