TiDB Cloud：服务账号被盗，对方在里面待了一个月

PingCAP 是分布式数据库 TiDB 背后的公司。它表示，入侵者用窃取的服务账号凭据从 9月9日起在其内部系统里来去自如，直到 10月7日才被发现。

据 PingCAP 说，入侵者拷走了：

• 账号和项目元数据（姓名、邮箱、组织、项目和集群 ID）
• SQL 编辑器里的文本和报错信息
• 账单和业务信息：联系人、合同条款、订单、价格
• 一张存有加密 TiDB Cloud API 密钥值的表。NebuSec 后续确认加密密钥未泄露；这项保护不涵盖支持材料中的明文凭据
• PingCAP 源代码
• 后续独立报告还列出 AI 交互、网关连接日志、支持工单及附件、诊断数据、内部告警聊天记录及成员列表，以及基础设施和编排系统备份；各客户涉及的类别不同

PingCAP 表示，没有证据表明客户 TiDB 数据库里的数据被访问；在排查过的生产系统上，也没有发现命令执行或持久化的痕迹。

勒索团伙 FulcrumSec 的说法要夸张得多：10.6 TB、490 万个文件，还放出了 200 GB 样本。这些数字都未经证实。早期还有帖子称受影响的组织超过 18 万家，我们在任何可信来源里都没找到这个数字，所以没有采用。

11月1日复查（UTC）： NebuSec 10月21日报告将初始入口追溯到失陷的 GitHub 账号，之后利用仓库和 Terraform 中暴露的凭据。支持工单中的凭据还被用于访问诊断 S3 数据。CEO 10月23日说明要求客户轮换提供给支持团队的密钥，而不仅是管理 API 密钥；各客户的影响评估仍待完成。独立调查没有发现生产环境持久化访问或客户 TiDB 数据库遭访问的证据，但这不否定内部及支持系统的数据窃取。

调查时，NebuSec 列出六个源 IP：146.70.173[.]219、23.234.82[.]156、23.234.83[.]80、23.234.80[.]121、138.199.43[.]96、23.234.81[.]225。将9月9日至10月7日的身份和访问记录与 Python-urllib/3.12、compute.instances.aggregatedList、BigQuery google.cloud.bigquery.v2.JobService.InsertJob EXTRACT 作业、.json.gz 暂存文件、rclone 和 storage.objects.get 的 200/206 响应关联。这些工具及操作也有合法用途，仅命中指标不能证明入侵。报告未公开内部资源标识符及密钥。