PingCAP TiDB 데이터 유출

침해를 자처한 FulcrumSec이 TiDB Cloud의 제어 영역, 고객 데이터, 재무 기록, 소스 코드 등 10.6TB를 탈취했다며 1차 공개를 발표함 저장소에 커밋된 클라우드 자격 증명으로 복제 파이프라인을 구성해, 22일 동안 6시간마다 88차례 운영 제어 영역을 반출했으며 탐지되지 않았다고 주장함 탈취 목록에는 18만여 테넌트 조직의 정보와 평문 API 키 115,308쌍, 고객 SQL 2,064만여 건, 4년간의 접속 기록이 포함됨 Jira 지원 티켓에 고객의 운영 자격 증명과 로그가 들어 있었으며, 일부 AWS 관리자 키와 GitHub 토큰 등이 반출 당시에도 유효했다고 주장함 고객별 매출과 클라우드 원가를 연결할 수 있는 재무 데이터, 분석용 가명 식별자를 이메일과 고용주에 연결하는 신원 매핑 데이터까지 공개 대상에 포함됨 침해 주장과 반복 반출 경로 FulcrumSec은 관리형 데이터베이스 서비스 TiDB Cloud에서 총 10.6TB, 4,901,203개 파일을 탈취했다고 주장함 범위는 운영 제어 영역, 청구와 재무 시스템, 약 50개 GCP 스토리지 버킷, AWS 비용과 청구 자료, Jira, CRM, 분석 데이터, 소스 코드에 걸침 은행, 게임사, 전자상거래 기업이 사용하는 공유 멀티테넌트 플랫폼의 보안과 운영 가시성을 문제 삼음 최초 약 8TB를 반출한 뒤 거의 두 달 동안 추가 데이터를 확보했다고 함 저장소에 커밋된 GCP 서비스 계정 키와 Azure 서비스 주체 자격 증명으로 제어 영역 데이터베이스의 복제 피드를 구성함 PingCAP 인프라가 테넌트, 사용자, API 키, 클러스터 자격 증명, 변경 피드, 마이그레이션 테이블을 외부로 전송하도록 했다고 주장함 침해 기간 말미인 2026년 9월 8~30일에는 6시간 간격으로 88회 내보내기를 수행했으며, 탐지는 한 번도 없었다고 함 마지막 실행은 9월 30일 06:02 UTC였으며, 해당 제어 영역 데이터가 1차 공개분에 포함됨 아래의 탈취 범위, 키의 유효성, 내부 보안 결함은 모두 FulcrumSec이 공개한 주장에 해당함 제어 영역, 고객 SQL, 접속 기록 metadb 전체 복제본에는 고객과 클러스터 운영 정보가 포함됐다고 함 테넌트 조직 180,046개, 사용자 레코드 292,276개, 실명 166,108개, 고유 이메일 403,262개가 들어 있음 프로젝트 388,861개, 서버리스 클러스터 3,448,054개, 전용 클러스터...