2026년 9월 9일부터 10월 7일까지 권한이 없는 당사자가 탈취한 서비스 계정 자격 증명으로 PingCAP 내부 시스템 일부에 접근해 데이터를 복사하고 소스 코드를 확보했다. PingCAP은 10월 7일 침해 사실을 파악해 같은 날 영향을 받은 자격 증명을 비활성화하기 시작했다.
외부 사고 대응 업체가 PingCAP의 프로덕션 시스템을 검토한 결과, 조사 대상 시스템에서 공격자가 명령을 실행하거나 접근 권한을 지속적으로 유지했다는 증거는 발견되지 않았다. 다만 이 조사 결과가 아래에 설명된 데이터 노출 가능성을 해소하는 것은 아니다. 외부 법률 자문 및 포렌식 전문가와 조사한 현재까지 TiDB에 저장된 데이터가 영향을 받았다는 증거는 없다. 조사는 계속 진행 중이며, 새로운 사실이 확인되면 알릴 예정이다. 10월 14일 기준으로 침해가 확인된 자격 증명은 모두 무효화됐고, 확인된 무단 접근 경로도 차단됐다. 현재 고객별 영향 범위를 확인하고, 조치 전에 취약점이 악용됐는지 조사하고 있다.
조사팀은 외부 사고 대응 업체와 함께 반출된 기록을 검토했다. 현재까지 영향을 받은 것으로 확인된 정보는 다음과 같다. 해당 범주가 모든 고객에게 전부 노출됐다는 뜻은 아니며, 고객별 영향 범위는 확인 중이다.
- TiDB Cloud 계정 및 제품 사용 정보: 반출된 기록에는 사용자 이름과 이메일 주소, 조직 및 프로젝트 연결 정보, SQL 편집기 텍스트와 오류가 포함됐다. 일부 기록에는 조직·프로젝트·클러스터 식별자도 있었다. 어떤 고객의 기록이 영향을 받았는지는 확인 중이다.
- 사업 및 결제 정보: 고객 담당자, 계약 조건, 주문, 가격, 결제 조건, 청구 설정 정보가 포함됐다. 고객별 영향 범위는 조사 중이며 모든 고객의 정보가 노출된 것은 아니다.
- 자격 증명: 반출된 표에 암호화된 TiDB Cloud API 키 값이 있었다. 외부 업체가 조사관 소유의 값 하나를 시험한 결과, 그 값은 API 키로 직접 사용할 수 없었다. 다른 사용 가능한 자격 증명이 노출됐는지는 확인 중이다. 공격자가 지원 자료에서 자격 증명에 관해 한 주장은 검증되지 않았다.
- 고객 클러스터: 조사한 프로덕션 시스템에서 공격자가 명령을 실행하거나 지속적으로 접근했다는 증거는 발견되지 않았다. 이 결과는 앞서 설명한 데이터 노출 가능성을 해소하지 않으며, PingCAP은 취약점이 수정되기 전에 악용됐는지 프로덕션 로그를 확인하고 있다.
10월 14일까지 PingCAP은 침해된 접근을 제한하기 위해 10월 7일부터 영향을 받은 계정과 자격 증명 대부분을 비활성화하거나 폐기했다. 10월 10일까지 추가로 침해된 자격 증명을 삭제하고 클라우드 프로젝트 간 과도한 권한을 제거했다. 확인된 무단 접근 경로는 10월 14일 기준 모두 차단됐다.
외부 업체가 10월 12~13일 보고한 취약점 네 건은 모두 10월 14일까지 수정됐다. 업체는 수정 사항을 다시 시험해 네 건 모두 해결됐다고 확인했다. PingCAP은 10월 10일 영향을 받은 프로젝트에서 클라우드 스토리지 접근 로그를 추가로 활성화해 이후 활동을 더 잘 파악하도록 했다.
10월 19일 현재 PingCAP은 반출된 정보를 검토해 영향을 받은 고객과 데이터 유형을 확인하고 있다. 수정된 취약점이 이전에 악용됐는지, 추가 자격 증명이 노출됐는지, 남은 보안 문제가 있는지도 조사 중이다. 자격 증명 교체, 접근 제어, 코드 및 비밀 정보 검사, 감사 로그, 비정상 접근과 대량 데이터 반출에 대한 경보도 강화할 계획이다.
고객별 영향 범위를 확인하면 영향을 받은 고객에게 직접 알릴 예정이다. 문의는 security@pingcap.com으로 보낼 수 있다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요