핑캡(PingCAP) 공동 창업자 겸 CEO 맥스 류(Max Liu)는 2026년 10월 23일 보안 사고에 대한 입장을 밝혔다. 2026년 9월 9일부터 10월 7일까지 공격자가 탈취한 자격 증명을 사용해 PingCAP 내부 시스템에 접근하고 고객 정보가 포함된 자료를 복사했다.
맥스 류는 정보 보호가 미흡했다며 사과하고 사고와 개선에 책임을 지겠다고 밝혔다. 여러 사이버 보안 업체가 독립 조사를 진행했고, NebuSec은 조사를 마쳐 조사 결과를 공개했다.
NebuSec에 따르면 공격자는 탈취한 GitHub 계정과 노출된 자격 증명을 이용해 내부 시스템에 접근하고 소스 코드를 확보했으며, 내부 분석·저장·지원 환경의 기록을 복사했다. 고객의 TiDB 데이터베이스에 저장된 데이터에 접근했거나 공격자가 운영 환경에 계속 남아 있었다는 증거는 발견되지 않았다. 고객 관련 정보는 내부 분석·저장·지원 시스템에서 복사됐으며, 데이터 종류와 출처는 보고서에 나와 있다.
유출된 자료에 포함된 TiDB Cloud 관리 API 키 값은 암호화돼 있었고 암호화 키는 노출되지 않았다. 다만 지원 자료에 공유된 자격 증명에는 이 설명이 적용되지 않는다. 확인된 유출 자격 증명은 모두 무효화했고, NebuSec이 검토 중 발견한 취약점은 수정 후 재시험했으며 악용된 증거는 없었다.
노출된 데이터의 범위와 종류는 고객마다 다르다. PingCAP은 고객별 영향을 확인하고 있으며, 영향을 받은 고객에게 직접 연락할 예정이다. 개별 안내를 기다리지 말고 다음 조치를 취하라고 권고했다.
- 고객 조치 안내에 따라 TiDB Cloud 관리 API 키를 교체한다.
- PingCAP 지원팀과 공유한 자격 증명, 키, 연결 문자열, 비밀 정보가 포함된 로그를 모두 교체하거나 갱신한다.
- 표적형 피싱에 주의한다. 비밀번호·인증 코드·결제 정보 변경을 요구하는 요청은 이미 신뢰하는 경로를 통해 확인한다.
맥스 류는 고객 정보를 보유한 내부 시스템에도 운영 환경과 동일한 보안 기준을 적용하고, 모든 자격 증명에 담당자를 지정해 필요한 접근 권한만 부여하며, 비정상적인 접근과 대규모 데이터 이동을 탐지하고 대응하겠다고 밝혔다. NebuSec 보고서에는 지금까지 완료한 사고 차단 및 보안 강화 작업이 담겼고, 관련 작업은 계속 진행 중이다.
문의는 security@pingcap.com으로 보내면 된다. 비밀번호, 토큰, 키 등 비밀 정보는 포함하지 않아야 한다. 이번 사고의 기준 자료는 사고 보고서다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요