PingCAP confirmou acesso não autorizado a seus sistemas internos e roubo de código-fonte e dados de clientes pela grupo de extorsão cibernética FulcrumSec. O grupo alegou ter roubado 10.6 TB de dados, embora essas alegações não tenham sido verificadas independentemente.
Os dados supostamente roubados incluem registros do plano de controle do TiDB Cloud, declarações SQL de clientes, chaves de API, logs de conexão, informações de faturamento, documentos internos e 413 repositórios privados de código-fonte. FulcrumSec alega que o acesso não foi detectado por muitas semanas.
De acordo com as alegações do grupo, os dados expostos contêm nomes de usuários, endereços de email, associações de organização e projeto, além de texto e erros de SQL editor. O metadb supostamente contém cerca de 180 mil organizações de inquilinos, aproximadamente 300 mil registros de usuários (incluindo 166 mil nomes reais) e mais de 400 mil endereços de email únicos.
FulcrumSec alegou ter obtido 115 mil pares de chaves de API de console, dos quais mais de 40 mil estavam ativos no momento da alegação. O grupo também afirma ter obtido cerca de 1.800 endpoints de banco de dados externos de trabalhos de migração de clientes, incluindo contas de root e admin para hosts MySQL e Aurora de clientes.
PingCAP relatou que uma firma externa de resposta a incidentes não encontrou evidência de que o atacante executou comandos ou manteve acesso persistente nos sistemas revisados. Também informou que não há evidência de que dados armazenados no TiDB foram impactados. TiDB é o banco de dados SQL distribuído de código aberto compatível com MySQL desenvolvido pela PingCAP.
Um aspecto crítico do incidente envolve a prática de engenheiros de PingCAP colarem credenciais de produção de clientes em tickets Jira. Kim Barthel, diretor e fundador da 42Sec, alertou que a brecha expõe o esquema de clientes, informações sobre engenheiros, dados de pagamento e datas de renovação de contrato — informações suficientes para emails de phishing direcionado convincentes.
A brecha ilustra como provedores de cloud podem inadvertidamente armazenar dados sensíveis de clientes em históricos de consulta, tickets de suporte e logs diagnósticos, deixando clientes expostos mesmo quando seus próprios bancos de dados permanecem intactos.
Registros supostamente expostos incluem dados associados a Booking.com, Shopee, Airbnb, Pinterest, Databricks, Atlassian, Fujitsu, SoftBank e Baidu, embora isso não confirme que essas organizações foram comprometidas. Bitget, exchange de criptografia mencionado no relatório, informou que sua investigação encontrou nenhuma evidência de exposição de dados de usuários.
A primeira liberação de FulcrumSec consiste em cinco arquivos tar.gz totalizando 128,3 GB comprimidos e pouco mais de 200 GB descomprimidos, de um total alegado de 10.6 TB.
PingCAP recomenda que clientes substituam chaves de API de gerenciamento TiDB Cloud ativas e permaneçam alertas para tentativas de phishing direcionado. Em discussão na comunidade, profissionais questionaram a resposta da PingCAP, destacando a alegação de que o atacante teria configurado um pipeline de replicação do banco de dados do plano de controle por mais de um mês sem disparar detecção.
