対象：TiDB Cloudを使っている組織の管理者と、PingCAP株式会社と契約・問い合わせをしたことがある人。本記事は同社の公式発表にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
TiDB Cloudを使っている組織の管理者と、PingCAP株式会社と契約・問い合わせをしたことがある人。
- 影響が確認された範囲表で見る ↓
- TiDB Cloudアカウント情報
- サポートチケット情報
- 取引関連情報
さらに1件
- APIキーのPublic Key部分
- 未確認事項
- 対象になった顧客ごとの影響
- 個別通知の有無と時期
- 日本国内の「最大約5万件」が数えているもの（人数かレコード数か）
さらに3件
- 認証情報が盗まれた経緯
- ソースコードを含め、取得されたデータの範囲（日本語の発表に記載なし）
- 不正利用（二次被害）の有無
- 今やること手順を見る ↓
- APIキーを再発行する
- アクセスログを見て、組織のメンバーと権限を見直す
- SQLエディタとサポートチケットに、何を貼ったか振り返る
さらに2件
- PingCAPを名乗る連絡は、リンクを開かずに確かめる
- 問い合わせは、発表ページの窓口へ
- 最終確認日時
- 2026年11月3日時点
発表の続報予定と確認の記録
同社は、日本語の発表で「新たな事実が判明次第、順次更新を提供いたします」と書き、外部の調査会社とともに調査を続けているとしています。11月3日に、日本語と英語の発表の本文を確認しました。日本語版には2026年10月21日13:05の追記（問い合わせ情報の追加）がありますが、それより新しい更新は見当たりませんでした。
TiDB Cloudの組織管理者が今日やること
APIキーを再発行する
同社は、TiDB CloudでAPIキーを発行している場合は、キーをローテーション（再発行）するよう求めています。同社は、Private Keyは流出していないと説明しています。当サイトの見方：Public Key部分が影響を確認された種類に含まれるためです。
- 当サイトの補足：古いキーを無効にしてから、新しいキーを使うサービス（CI/CD、自動化のスクリプト）の設定を差し替える
- 当サイトの補足：使っていないキーは作り直さず、削除する
アクセスログを見て、組織のメンバーと権限を見直す
同社は、TiDB Cloudと関連するクラウドのアクセスログを見て、不審なIPアドレスや身に覚えのない操作がないか確かめることと、組織メンバーとロール（権限）を見直し、不要なアカウントの削除や権限の調整を検討することを求めています。
- 見覚えのないログイン、キーの作成、メンバーの追加がないか
- 退職・異動した人、使っていない外部委託のアカウントが残っていないか
- 管理者権限は必要な人だけにする
SQLエディタとサポートチケットに、何を貼ったか振り返る
同社が影響を確認した種類には、SQLエディタの実行履歴とエラー情報、問い合わせ情報（サポートチケット）が入っています。英語の発表は「SQL editor text and errors」と書いており、実行した文の本文が含まれるかは日本語の発表に書かれていません。
- 接続文字列、パスワード、トークン、APIキーを貼った覚えがあれば、漏れた前提で変える（当サイトの勧め）
- 個人情報や業務データを貼っていた場合は、社内の個人情報の担当者に伝える
- 今後は、サポートへの問い合わせに秘密情報をそのまま貼らず、伏せ字にする
PingCAPを名乗る連絡は、リンクを開かずに確かめる
同社は、同社を装ったメールや、本件に関連する不審なメールが届く可能性があるとし、返信やリンクのクリックは避けて、インシデント対応窓口へ連絡するよう求めています。同社は、メールでパスワードやアクセスキーをたずねることはないとしています。
組織名やプロジェクト名、サポートチケットの話題を知っているような文面でも、本物の証拠にはなりません（当サイトの見方）。フィッシングとは
問い合わせは、発表ページの窓口へ
日本語の発表は、PingCAP株式会社のインシデント対応窓口として security-jp@pingcap.com を案内しています。英語の発表は security@pingcap.com を案内しています。宛先は公式の発表ページで確かめてください。
① PingCAPやそのサポートを名乗るメール／電話
組織名やチケットの話題を知っている → 本物の証拠にはならない
↓
② リンクは使わず、自分で公式の発表ページやコンソールを開いて確かめる
↓
③-A 公式側に載っていない
パスワードやアクセスキーを求める → 応じず、窓口へ連絡
③-B 公式側にも同じ案内がある
公式の案内に沿って手続きする
何が起きたのか（PingCAPの発表より）
以下は、同社の日本語の発表「不正アクセスによる情報漏洩に関するお詫びとご報告」と、英語の発表（Trust Hub、Security Update – October 2026）にもとづきます。
2026年9月9日〜10月7日（米国時間）
不正に取得されたアカウント認証情報を使った第三者が、社内システムに入り、データを複製した（同社の説明）10月7日
同社が本件を認識し、同日中に、影響を受けた認証情報の無効化を始めた（同社の説明）10月10日〜14日
英語の発表によれば、10日に追加の認証情報の削除、クラウドプロジェクト間の過剰な権限の削減、保存先のアクセスログの追加を実施。14日までに、特定された認証情報をすべて無効にし、特定された侵入経路を遮断した（日本語の発表も、特定した侵入経路の遮断を述べている）10月19日
英語の発表ページに、この日付が書かれている（英語の発表に「Published: October 19, 2026」とある）10月21日13:05
日本語の発表に、問い合わせ情報（サポートチケット情報）を対象に加える追記。日本語のページに初回公開日の記載はない11月3日
当サイトが日本語・英語の発表の本文を確認。10月21日の追記より新しい更新は見当たらず
- TiDB Cloudアカウント情報
- ユーザー名、メールアドレス、組織・プロジェクトとの関連付け、SQLエディタの実行履歴とエラー情報（組織・プロジェクト・クラスタIDを含む）、問い合わせ情報（サポートチケット情報、10月21日の追記）。顧客によって異なる
- 取引関連情報
- 連絡先（氏名、メールアドレス、企業名、電話番号）と、契約条件（注文内容、支払条件、請求設定）
- 認証情報
- TiDB Cloud APIキーのPublic Key部分（暗号化されている）。Private Key部分は流出しておらず、Public KeyだけではTiDB Cloudを操作できない、と同社は説明している
- 確認されていないこと
- クレジットカード情報の漏洩と、TiDB Cloudへの不正アクセス（同社の日本語の発表）。英語の発表は、TiDBに保存されたデータへの影響を示す証拠はない、本番環境でコマンドが実行された証拠は見つかっていない、と書いている
- 英語の発表にだけある点
- 第三者がソースコードを取得したと書いている。日本語の発表には、この記載がない
- 同社の対応
- 外部のセキュリティ会社と、影響範囲の検証・侵入経路の特定。流出したキーと重要な管理キーの更新、権限の厳格化、ネットワーク管理の見直し、新たな脅威検知の導入。法執行機関への届出と、関係各国の監督当局への報告（日本語の発表）
分かっていること・分かっていないこと
2026年11月3日時点の状態です。続報が出たら、この表を書き換えます。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| 不正アクセスの期間 | 2026年9月9日〜10月7日（米国時間） | 判明（同社。調査は継続） |
| 件数 | 日本国内で最大約5万件の個人情報。数える単位（人数かレコード数か）は書かれていない。英語の発表に件数はない | 最大（同社、日本語の発表） |
| TiDB Cloudアカウント情報 | ユーザー名、メールアドレス、組織・プロジェクトとの関連付け、SQLエディタの実行履歴とエラー情報 | 漏えいを確認（同社） |
| サポートチケット情報 | 10月21日の追記で対象に追加 | 漏えいを確認（同社） |
| 取引関連情報 | 連絡先、注文内容、支払条件、請求設定 | 漏えいを確認（同社） |
| APIキーのPublic Key部分 | 暗号化されている。Private Keyは流出していないため、Publicだけでは操作できない | 漏えいを確認（同社）。英語の発表は、他に使える認証情報が見つかったかは未確定 |
| APIキーのPrivate Key部分 | 流出していない | 含まれない（同社） |
| 顧客ごとの影響 | 顧客によって異なり、全項目が全員に当てはまるわけではない。英語の発表は顧客ごとの影響を調べているとする | 調査中（英語の発表） |
| SQLエディタに実行した文の本文 | 日本語の発表に記載なし（英語の発表は「SQL editor text and errors」） | 記載なし |
| クレジットカード情報 | 漏洩は確認されていない | 確認されていない（同社） |
| TiDB Cloudへの不正アクセス | 確認されていない。英語の発表も、TiDBに保存されたデータへの影響を示す証拠はないとする | 確認されていない（同社） |
| ソースコード | 英語の発表は、取得されたと書く。日本語の発表に記載なし | 英語の発表に記載。日本語は記載なし |
| 侵入経路 | 特定して遮断した。認証情報の取得の経緯は書かれていない | 調査中（経緯） |
| 個別通知 | 日本語の発表に記載なし。英語の発表は、顧客ごとの影響が分かり次第、直接知らせるとする | 調査中（英語の発表） |
| 不正利用（二次被害） | 記載なし | 記載なし |
| 当局への報告 | 法執行機関への届出と、関係各国の監督当局への報告と同社が説明。当局側の発表は当サイトでは確認していない | 同社の説明 |
読み方の注意：日本語と英語の発表で違う点
同社の日本語の発表と英語の発表では、書かれている項目が一部異なります（ソースコードの記載、件数、問い合わせ先、日付）。当サイトは、どちらに書かれているかを区別して載せています。日本国内の「最大約5万件」は日本語の発表にだけ出てくる数字で、全世界の件数ではありません。
連絡先・SQL履歴・サポートチケットで何が起きうるか
以下は、この項目の組み合わせから一般に起きうることで、本件で起きたと同社が公表しているものではありません。
- 氏名＋メール＋企業名＋電話＋注文内容：契約や請求の話題を知っているように見える、同社や取引先を装った連絡の材料になる
- 組織・プロジェクト・クラスタIDの関連付け：自社が使っている環境を知っているかのような、本物らしい連絡を作れる
- SQLエディタの履歴・エラー：接続先の名前、テーブルの構成、貼られた認証情報が含まれていれば、それが外部に出た前提で対処する必要がある（実際に含まれるかは発表に書かれていない）
- サポートチケット：障害の内容や環境の説明、貼った設定や資格情報が含まれることがある。「サポートの続き」を装った連絡に使われうる
- APIキーのPublic Key部分：同社は、暗号化されていて、Private Keyなしでは操作できないとしている。それでも再発行は、確かめる手間の少ない安全側の対応です（当サイトの勧め）
運営者・クラウド利用者が見直すこと
認証情報が盗まれた経緯は公表されていません。ここでは、公表された事実（盗まれたアカウント認証情報で社内システムに入られた、サポートや履歴に情報が残っていた、キーが再発行された）から言える、一般的な見直しの点だけを挙げます。
- サポートへ渡す情報：問い合わせに貼る設定やログから、パスワード、トークン、接続文字列を取り除く。必要なときは一時的な認証情報を渡し、終わったら失効させる
- SQLエディタ・コンソールの履歴：履歴に秘密情報が残る前提で使う。認証情報はSQL文に直接書かず、秘密情報の管理の仕組みから渡す
- APIキーの管理：用途ごとに分け、権限を絞り（最小権限）、定期的に再発行する。使っていないキーを棚卸しして消す（当サイトの補足、環境変数とAPIキーの基本）
- ベンダーの事故に備える：ベンダーの管理画面に入れる人を絞り、多要素認証を必須にし、ログイン・キー作成の通知を有効にする（多要素認証の選び方）
これらは一般的な見直しの点で、同社や利用者がこれらを行っていなかったという意味ではありません。
出典（公開記録）
本記事の事実関係は、以下の公開情報にもとづきます。公表されていない経緯や、取得されたデータの範囲は推測していません。
- PingCAP株式会社「不正アクセスによる情報漏洩に関するお詫びとご報告」（日本語、2026年10月21日13:05追記あり、11月3日に確認） — pingcap.co.jp
- PingCAP「Security Update – October 2026」（英語、本社、11月3日に確認） — pingcap.com
更新履歴
2026-11-03：初版。同社の日本語の発表（10月21日の追記を含む）と英語の発表にもとづく（11月3日に確認、それより新しい更新は見当たらず）。
次に読む
- 認証情報から始まる事案：認証情報の窃取から始まった2026年の漏えい
- APIキー・秘密情報の管理：環境変数とAPIキーの基本 ／ 漏えいした認証情報が失効しないまま使える問題
- 同じ型の事案：Railwayの秘密情報の露出、Northflankの事故とAPIキー
- 詐欺メッセージへの備え：フィッシングとは
- アカウントを守る：多要素認証の選び方
- 2026年の他の事案：情報漏えい・サイバー攻撃の一覧（国内・海外）