Para: administradores de organizaciones que usan TiDB Cloud y personas que han contratado o contactado con PingCAP. Este artículo se basa en los avisos oficiales de la empresa y no aborda métodos de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
- A quién afecta
administradores de organizaciones que usan TiDB Cloud y personas que han contratado o contactado con PingCAP.
- Confirmado hasta ahoraVer la tabla ↓
- Datos de cuenta de TiDB Cloud
- Información de tickets de soporte
- Información comercial y de facturación
1 más
- Parte de clave pública de las claves de API
- Aún sin confirmar
- Impacto en cada cliente afectado
- Si se notificará individualmente a los clientes y cuándo
- Qué cuenta la cifra de unos 50.000 de Japón (personas o registros)
3 más
- Cómo se obtuvieron las credenciales
- El alcance completo de los datos obtenidos, incluido el código fuente (no figura en el aviso en japonés)
- Si se produce algún uso indebido (daño secundario)
- Qué hacer ahoraVer los pasos ↓
- Rote sus claves de API
- Revise los registros de acceso y los miembros y roles de la organización
- Repase lo que pegó en el editor SQL y en los tickets de soporte
2 más
- Compruebe sin abrir enlaces cualquier mensaje que diga ser de PingCAP
- Dirija las consultas al contacto de la página del aviso
- Dónde verificarlo (fuente)Todas las fuentes ↓
- PingCAP K.K., aviso en japonés sobre la filtración de datos por acceso no autorizado (adenda del 21 de octubre de 2026 a las 13:05; consultado el 3 de noviembre)
- Última comprobación
- A fecha del 3 de noviembre de 2026
Próximos avisos y qué comprobamos
En su aviso en japonés la empresa dice que informará de las novedades a medida que se conozcan nuevos hechos y que continúa la investigación con un investigador externo. El 3 de noviembre comprobamos el texto de los avisos en japonés y en inglés. El aviso en japonés tiene una adenda con fecha del 21 de octubre de 2026 a las 13:05 (que añade información de consultas); no encontramos ninguna actualización más reciente.
Qué deben hacer hoy los administradores de organizaciones de TiDB Cloud
Rote sus claves de API
La empresa pide a los clientes que hayan emitido claves de API de TiDB Cloud que las roten. Dice que la parte de clave privada no se expuso. Opinión de este sitio: la parte de clave pública (almacenada cifrada) está entre las categorías confirmadas como afectadas.
- Adición de este sitio: desactive la clave antigua y luego cambie a la nueva los servicios que la usan (CI/CD, scripts de automatización)
- Adición de este sitio: elimine las claves que ya no use en lugar de recrearlas
Revise los registros de acceso y los miembros y roles de la organización
La empresa pide a los clientes que revisen los registros de acceso de TiDB Cloud y de las cuentas de nube relacionadas en busca de direcciones IP sospechosas o acciones que no reconozcan, y que revisen los miembros y roles de la organización y consideren eliminar las cuentas innecesarias o ajustar los permisos.
- Cualquier inicio de sesión, creación de claves o incorporación de miembros que no reconozca
- Cuentas de personas que se fueron o cambiaron de puesto, o de contratistas que ya no utiliza
- Derechos de administrador solo para quienes los necesitan
Repase lo que pegó en el editor SQL y en los tickets de soporte
Las categorías que la empresa confirmó como afectadas incluyen el historial de ejecución y la información de errores del editor SQL, y la información de consultas (tickets de soporte). El aviso en inglés dice «SQL editor text and errors»; el aviso en japonés no dice si se incluye el cuerpo de las sentencias ejecutadas.
- Si recuerda haber pegado cadenas de conexión, contraseñas, tokens o claves de API, cámbielos como si se hubieran filtrado (consejo de este sitio)
- Si pegó datos personales o comerciales, avise a la persona responsable de datos personales de su organización
- En el futuro, enmascare los secretos antes de pegarlos en solicitudes de soporte
Compruebe sin abrir enlaces cualquier mensaje que diga ser de PingCAP
La empresa dice que pueden llegar correos que se hagan pasar por ella o correos sospechosos relacionados con este incidente. Pide evitar responder o hacer clic en enlaces y contactar con su contacto de incidentes, y dice que no pide contraseñas ni claves de acceso por correo.
Un mensaje que parezca conocer el nombre de su organización, los nombres de sus proyectos o el tema de un ticket de soporte no es prueba de que sea auténtico (opinión de este sitio). ¿Qué es el phishing?
Dirija las consultas al contacto de la página del aviso
El aviso en japonés indica security-jp@pingcap.com como contacto de incidentes de PingCAP K.K. El aviso en inglés indica security@pingcap.com. Confirme la dirección en la página oficial del aviso.
1. Un correo o una llamada que dice ser de PingCAP o de su soporte
Nombra su organización o el tema de un ticket: no es prueba
↓
2. Ignore sus enlaces; abra usted mismo la página oficial del aviso o la consola
↓
3-A No figura en el lado oficial
Pide contraseñas o claves de acceso: no lo haga, denúncielo
3-B El mismo aviso en el lado oficial
Siga la guía oficial
Qué ocurrió (según los avisos de PingCAP)
Lo siguiente se basa en el aviso en japonés de la empresa (cuyo título es una disculpa y un informe sobre la filtración de datos por acceso no autorizado) y en su aviso en inglés (Trust Hub, Security Update – October 2026).
9 de septiembre a 7 de octubre de 2026 (hora de EE. UU.)
Un tercero que usó credenciales de cuenta obtenidas ilícitamente entró en sistemas internos y copió datos (explicación de la empresa)7 de octubre
La empresa tuvo conocimiento del incidente y empezó a invalidar las credenciales afectadas ese mismo día (explicación de la empresa)10 a 14 de octubre
Según el aviso en inglés: el día 10 eliminó credenciales adicionales, redujo los permisos excesivos entre proyectos de nube y añadió el registro de acceso al almacenamiento; el día 14 había invalidado todas las credenciales identificadas y bloqueado las vías de acceso identificadas. (El aviso en japonés también dice que se bloquearon las vías de acceso identificadas.)19 de octubre
La página del aviso en inglés lleva esta fecha (el aviso en inglés dice «Published: October 19, 2026»)21 de octubre, 13:05
Adenda al aviso en japonés que añade información de consultas (tickets de soporte). La página en japonés no indica fecha de primera publicación3 de noviembre
Este sitio comprobó el texto de ambos avisos. No se encontró ninguna actualización posterior a la adenda del 21 de octubre
- Datos de cuenta de TiDB Cloud
- Nombres de usuario, direcciones de correo, asociaciones de organización y proyecto, historial de ejecución y errores del editor SQL (incluidos los ID de organización, proyecto y clúster) e información de consultas (tickets de soporte, añadida el 21 de octubre). Varía según el cliente
- Información comercial y de facturación
- Contactos (nombre, dirección de correo, nombre de empresa, teléfono) y condiciones del contrato (pedidos, condiciones de pago, ajustes de facturación)
- Credenciales
- La parte de clave pública de las claves de API de TiDB Cloud (almacenada cifrada). La empresa dice que la parte de clave privada no se expuso y que la clave pública sola no puede operar TiDB Cloud
- No confirmado
- Filtración de tarjetas de crédito y acceso no autorizado a TiDB Cloud (aviso en japonés). El aviso en inglés dice que no hay pruebas de que los datos almacenados en TiDB se vieran afectados ni de que se ejecutaran comandos en los sistemas de producción revisados
- Solo en el aviso en inglés
- Dice que el tercero obtuvo código fuente. El aviso en japonés no lo dice
- Respuesta de la empresa
- Verificación del alcance e identificación de las vías de acceso con una empresa de seguridad externa; rotación de las claves expuestas y de las claves administrativas críticas, refuerzo de los permisos, revisión de la gestión de red, adición de nueva detección de amenazas; notificación a las fuerzas del orden y a las autoridades supervisoras pertinentes (aviso en japonés)
Qué se sabe y qué aún no
El estado a 3 de noviembre de 2026. Esta tabla se reescribirá cuando aparezcan novedades.
| Elemento | Lo que dice el aviso | Estado |
|---|---|---|
| Periodo del acceso no autorizado | Del 9 de septiembre al 7 de octubre de 2026 (hora de EE. UU.) | Indicado por la empresa (investigación en curso) |
| Cifra | Hasta unos 50.000 registros personales en Japón. No se indica la unidad (personas o registros). El aviso en inglés no da cifra | Hasta (empresa, aviso en japonés) |
| Datos de cuenta de TiDB Cloud | Nombres de usuario, direcciones de correo, asociaciones de organización y proyecto, historial de ejecución y errores del editor SQL | Filtración confirmada (empresa) |
| Información de tickets de soporte | Añadida por la adenda del 21 de octubre | Filtración confirmada (empresa) |
| Información comercial y de facturación | Contactos, pedidos, condiciones de pago, ajustes de facturación | Filtración confirmada (empresa) |
| Parte de clave pública de las claves de API | Almacenada cifrada. La clave privada no se expuso, así que la clave pública sola no puede operar TiDB Cloud | Filtración confirmada (empresa). El aviso en inglés dice que no está determinado si se expusieron otras credenciales utilizables |
| Parte de clave privada de las claves de API | No se expuso | No incluida (empresa) |
| Impacto por cliente | Varía; no todos los elementos se aplican a todos los clientes. El aviso en inglés dice que está determinando el impacto por cliente | En investigación (aviso en inglés) |
| Cuerpo de las sentencias ejecutadas en el editor SQL | No se indica en el aviso en japonés (aviso en inglés: «SQL editor text and errors») | No indicado |
| Información de tarjetas de crédito | No se ha confirmado la filtración | No confirmado (empresa) |
| Acceso no autorizado a TiDB Cloud | No confirmado. El aviso en inglés dice también que no hay pruebas de que los datos almacenados en TiDB se vieran afectados | No confirmado (empresa) |
| Código fuente | El aviso en inglés dice que se obtuvo. No se indica en el aviso en japonés | Indicado en el aviso en inglés; no en el japonés |
| Vía de acceso | Identificada y bloqueada. No se indica cómo se obtuvieron las credenciales | En investigación (el cómo) |
| Notificación individual | No se indica en el aviso en japonés. El aviso en inglés dice que notificará directamente a los clientes afectados cuando se establezca el impacto | En investigación (aviso en inglés) |
| Uso indebido (daño secundario) | No indicado | No indicado |
| Comunicación a las autoridades | La empresa dice que notificó a las fuerzas del orden y a las autoridades supervisoras pertinentes. Este sitio no ha confirmado ningún anuncio de una autoridad | Explicación de la empresa |
Cómo leerlo: dónde difieren los avisos en japonés y en inglés
Los avisos en japonés y en inglés de la empresa difieren en algunos puntos (código fuente, la cifra, la dirección de contacto y las fechas). Este sitio indica de qué aviso procede cada dato. La cifra de hasta unos 50.000 aparece solo en el aviso en japonés y es para Japón, no una cifra mundial.
A qué pueden llevar los datos de contacto, el historial SQL y los tickets de soporte
Lo siguiente es a lo que, en general, puede llevar una combinación así de elementos; no es algo que la empresa haya dicho que ocurriera aquí.
- Nombre + correo + nombre de empresa + teléfono + datos del pedido: material para mensajes que se hacen pasar por la empresa o por un socio comercial y que parecen conocer su contrato o su facturación
- Asociaciones de organización, proyecto e ID de clúster: permite redactar un mensaje convincente que parece saber qué entorno usa
- Historial y errores del editor SQL: si incluyen nombres de destinos de conexión, estructura de tablas o credenciales pegadas, trátelos como expuestos (los avisos no dicen si se incluyen)
- Tickets de soporte: pueden contener la descripción de una incidencia o de un entorno y ajustes o credenciales pegados. Pueden usarse para mensajes de «seguimiento de su solicitud de soporte»
- Parte de clave pública de las claves de API: la empresa dice que está cifrada y que no puede operar nada sin la clave privada. Aun así, rotarlas es un paso barato y del lado seguro (consejo de este sitio)
Qué deben revisar los operadores y los usuarios de la nube
No se ha publicado cómo se robaron las credenciales. Aquí van solo puntos generales de revisión que se desprenden de los hechos publicados (se usaron credenciales de cuenta robadas para entrar en sistemas internos, quedó información en el soporte y en los historiales, se rotaron claves).
- Qué envía al soporte: elimine contraseñas, tokens y cadenas de conexión de la configuración y los registros que pegue. Si es necesario, dé credenciales temporales y revóquelas después
- Editor SQL e historial de la consola: úselos dando por hecho que los secretos que queden en el historial persistirán. No escriba credenciales directamente en SQL; páselas desde un mecanismo de gestión de secretos
- Gestión de claves de API: separe las claves por finalidad, limite los permisos (mínimo privilegio), rótelas con regularidad e inventaríe y elimine las que no use (adición de este sitio; Conceptos básicos de variables de entorno y claves de API)
- Prepárese para un incidente de un proveedor: limite quién puede entrar en la consola del proveedor, exija autenticación multifactor y active las notificaciones de inicio de sesión y de creación de claves (Cómo elegir la autenticación multifactor)
Son puntos generales de revisión y no significan que la empresa o sus usuarios dejaran de hacerlos.
Fuentes (registros públicos)
Los hechos de este artículo proceden de la siguiente información pública. No hemos supuesto circunstancias no divulgadas ni el alcance de los datos obtenidos.
- PingCAP K.K., aviso en japonés sobre la filtración de datos por acceso no autorizado (adenda del 21 de octubre de 2026 a las 13:05; consultado el 3 de noviembre) — pingcap.co.jp
- PingCAP, «Security Update – October 2026» (en inglés, sede central; consultado el 3 de noviembre) — pingcap.com
Historial de actualizaciones
2026-11-03: Primera versión. Basada en el aviso en japonés de la empresa (incluida la adenda del 21 de octubre) y en el aviso en inglés (consultados el 3 de noviembre; no se encontró ninguna actualización posterior).
Lectura recomendada
- Incidentes que empiezan con credenciales: Filtraciones de 2026 que empezaron con credenciales robadas
- Gestión de claves de API y secretos: Conceptos básicos de variables de entorno y claves de API / Credenciales filtradas que siguen siendo válidas
- Incidentes similares: Exposición de secretos de Railway, Incidente de Northflank y claves de API
- Prepararse ante mensajes fraudulentos: ¿Qué es el phishing?
- Proteja sus cuentas: Cómo elegir la autenticación multifactor
- Otros incidentes de 2026: Filtraciones de datos y ciberataques (Japón y el extranjero)