대상: TiDB Cloud를 사용하는 조직의 관리자, 그리고 PingCAP와 계약했거나 문의한 적이 있는 사람. 이 글은 회사의 공식 공지를 바탕으로 하며 공격 방법은 다루지 않습니다.
진행 중: 기관이 추가 정보를 발표하는 대로 이 글을 업데이트합니다
- 대상
TiDB Cloud를 사용하는 조직의 관리자, 그리고 PingCAP와 계약했거나 문의한 적이 있는 사람.
- 확인된 영향 범위표 보기 ↓
- TiDB Cloud 계정 정보
- 지원 티켓 정보
- 업무 및 청구 정보
1개 더 보기
- API 키의 Public Key 부분
- 아직 확인되지 않은 사항
- 영향을 받은 고객별 영향
- 고객에게 개별 통지가 이루어지는지와 그 시기
- 일본 내 약 5만이라는 수치가 세는 단위(사람 또는 레코드)
3개 더 보기
- 자격 증명을 어떻게 취득했는지
- 소스 코드를 포함해 취득된 데이터의 전체 범위(일본어 공지에는 없음)
- 부정 사용(2차 피해)이 발생하는지
- 지금 할 일절차 보기 ↓
- API 키를 교체하세요
- 접근 로그와 조직 멤버, 역할을 점검하세요
- SQL 편집기와 지원 티켓에 붙여 넣은 내용을 돌아보세요
2개 더 보기
- PingCAP를 사칭하는 연락은 링크를 열지 말고 확인하세요
- 문의는 공지 페이지의 연락처로 보내세요
- 마지막 확인
- 2026년 11월 3일 기준
후속 발표 예정과 확인 기록
회사는 일본어 공지에서 새로운 사실이 확인되는 대로 알리겠다고 밝혔고, 외부 조사 기관과 함께 조사를 계속하고 있다고 합니다. 11월 3일에 일본어와 영어 공지의 본문을 확인했습니다. 일본어 공지에는 2026년 10월 21일 13:05자 추기(문의 정보 추가)가 있으며, 그보다 새로운 업데이트는 찾지 못했습니다.
TiDB Cloud 조직 관리자가 오늘 해야 할 일
API 키를 교체하세요
회사는 TiDB Cloud API 키를 발급한 고객에게 교체를 요청합니다. Private Key 부분은 노출되지 않았다고 합니다. 이 사이트의 견해: Public Key 부분(암호화되어 저장)은 회사가 영향을 받은 것으로 확인한 항목에 포함됩니다.
- 이 사이트의 추가 권고: 이전 키를 비활성화한 뒤, 그 키를 쓰는 서비스(CI/CD, 자동화 스크립트)를 새 키로 전환하세요
- 이 사이트의 추가 권고: 쓰지 않는 키는 다시 만들지 말고 삭제하세요
접근 로그와 조직 멤버, 역할을 점검하세요
회사는 TiDB Cloud와 관련 클라우드 계정의 접근 로그에서 수상한 IP 주소나 모르는 동작이 없는지 확인하고, 조직 멤버와 역할을 점검해 불필요한 계정은 삭제하거나 권한을 조정하라고 요청합니다.
- 기억에 없는 로그인, 키 생성, 멤버 추가
- 퇴사하거나 이동한 사람의 계정, 더 이상 쓰지 않는 위탁 업체의 계정
- 관리자 권한은 필요한 사람에게만
SQL 편집기와 지원 티켓에 붙여 넣은 내용을 돌아보세요
회사가 영향을 받은 것으로 확인한 항목에는 SQL 편집기 실행 기록과 오류 정보, 문의 정보(지원 티켓)가 포함됩니다. 영어 공지는 SQL editor text and errors라고 표기하며, 일본어 공지에는 실행한 구문 본문이 포함되는지 적혀 있지 않습니다.
- 접속 문자열, 비밀번호, 토큰, API 키를 붙여 넣은 기억이 있다면 유출되었다고 보고 변경하세요(이 사이트의 조언)
- 개인 정보나 업무 데이터를 붙여 넣었다면 조직의 개인정보 담당자에게 알리세요
- 앞으로는 지원 요청에 붙여 넣기 전에 비밀 정보를 가리세요
PingCAP를 사칭하는 연락은 링크를 열지 말고 확인하세요
회사는 자사를 사칭한 이메일이나 이번 사건과 관련된 수상한 이메일이 올 수 있다고 밝혔습니다. 답장하거나 링크를 클릭하지 말고 사건 연락처에 문의하라고 하며, 이메일로 비밀번호나 액세스 키를 요구하지 않는다고 합니다.
자신의 조직 이름, 프로젝트 이름, 지원 티켓의 주제를 아는 듯한 메시지라고 해서 진짜라는 증거는 아닙니다(이 사이트의 견해). 피싱이란?
문의는 공지 페이지의 연락처로 보내세요
일본어 공지는 PingCAP K.K.의 사건 연락처로 security-jp@pingcap.com을 안내합니다. 영어 공지는 security@pingcap.com을 안내합니다. 주소는 공식 공지 페이지에서 확인하세요.
1. PingCAP나 지원팀을 사칭한 이메일이나 전화
조직 이름이나 티켓 주제를 안다고 해서 증거가 되지는 않습니다
↓
2. 링크는 건너뛰고 공식 공지 페이지나 콘솔을 직접 여세요
↓
3-A 공식 쪽에는 없음
비밀번호나 액세스 키를 요구하면 따르지 말고 신고하세요
3-B 공식 쪽에 같은 공지가 있음
공식 안내를 따르세요
무슨 일이 있었나(PingCAP 공지 기준)
다음은 회사의 일본어 공지(제목은 무단 접근으로 인한 정보 유출에 대한 사과 및 보고)와 영어 공지(Trust Hub, Security Update – October 2026)를 바탕으로 합니다.
2026년 9월 9일부터 10월 7일(미국 시간)
제3자가 부정하게 취득한 계정 자격 증명으로 내부 시스템에 들어와 데이터를 복사했습니다(회사 설명)10월 7일
회사가 사건을 인지하고 같은 날 영향을 받은 자격 증명의 무효화를 시작했습니다(회사 설명)10월 10일부터 14일
영어 공지에 따르면 10일에 추가 자격 증명을 삭제하고, 클라우드 프로젝트 간 과도한 권한을 줄이고, 스토리지 접근 로그를 추가했으며, 14일까지 식별된 모든 자격 증명을 무효화하고 식별된 접근 경로를 차단했습니다. (일본어 공지에도 식별된 접근 경로를 차단했다고 되어 있습니다.)10월 19일
영어 공지 페이지에 이 날짜가 있습니다(영어 공지에는 Published: October 19, 2026이라고 되어 있음)10월 21일 13:05
문의 정보(지원 티켓)를 추가한 일본어 공지의 추기. 일본어 페이지에는 최초 게시일이 적혀 있지 않습니다11월 3일
이 사이트가 두 공지의 본문을 확인했습니다. 10월 21일 추기보다 새로운 업데이트는 없었습니다
- TiDB Cloud 계정 정보
- 사용자 이름, 이메일 주소, 조직과 프로젝트의 연결 관계, SQL 편집기 실행 기록과 오류(조직, 프로젝트, 클러스터 ID 포함), 문의 정보(지원 티켓, 10월 21일 추가). 고객에 따라 다름
- 업무 및 청구 정보
- 연락처(이름, 이메일 주소, 회사명, 전화번호)와 계약 조건(주문, 지불 조건, 청구 설정)
- 자격 증명
- TiDB Cloud API 키의 Public Key 부분(암호화되어 저장). 회사는 Private Key 부분은 노출되지 않았고 Public Key만으로는 TiDB Cloud를 조작할 수 없다고 밝혔습니다
- 미확인
- 신용카드 유출과 TiDB Cloud 자체에 대한 무단 접근(일본어 공지). 영어 공지는 TiDB에 저장된 데이터가 영향을 받았다는 증거나 검토한 운영 시스템에서 명령이 실행되었다는 증거가 없다고 밝힙니다
- 영어 공지에만 있음
- 제3자가 소스 코드를 취득했다고 되어 있습니다. 일본어 공지에는 이 내용이 없습니다
- 회사의 대응
- 외부 보안 기업과 함께 범위 확인과 접근 경로 식별 진행, 노출된 키와 중요한 관리 키 교체, 권한 강화, 네트워크 관리 점검, 새로운 위협 탐지 추가, 수사 기관과 관련 감독 당국에 통지(일본어 공지)
알려진 것과 아직 알려지지 않은 것
2026년 11월 3일 기준의 상태입니다. 후속 소식이 나오면 이 표를 갱신합니다.
| 항목 | 공지 내용 | 상태 |
|---|---|---|
| 무단 접근 기간 | 2026년 9월 9일부터 10월 7일(미국 시간) | 회사 설명(조사 계속 중) |
| 건수 | 일본 내 최대 약 5만 건의 개인 정보. 단위(사람 또는 레코드)는 명시되지 않음. 영어 공지에는 건수가 없음 | 최대(회사, 일본어 공지) |
| TiDB Cloud 계정 정보 | 사용자 이름, 이메일 주소, 조직과 프로젝트의 연결 관계, SQL 편집기 실행 기록과 오류 | 유출 확인됨(회사) |
| 지원 티켓 정보 | 10월 21일 추기로 추가 | 유출 확인됨(회사) |
| 업무 및 청구 정보 | 연락처, 주문, 지불 조건, 청구 설정 | 유출 확인됨(회사) |
| API 키의 Public Key 부분 | 암호화되어 저장. Private Key는 노출되지 않았으므로 Public Key만으로는 TiDB Cloud를 조작할 수 없음 | 유출 확인됨(회사). 영어 공지는 그 밖에 사용 가능한 자격 증명이 노출되었는지는 미정이라고 함 |
| API 키의 Private Key 부분 | 노출되지 않음 | 포함되지 않음(회사) |
| 고객별 영향 | 고객에 따라 다르며 모든 항목이 모든 고객에게 해당하지는 않음. 영어 공지는 고객별 영향을 판단하는 중이라고 함 | 조사 중(영어 공지) |
| SQL 편집기에서 실행한 구문의 본문 | 일본어 공지에는 명시 없음(영어 공지: SQL editor text and errors) | 명시되지 않음 |
| 신용카드 정보 | 유출은 확인되지 않음 | 미확인(회사) |
| TiDB Cloud 자체에 대한 무단 접근 | 미확인. 영어 공지는 TiDB에 저장된 데이터가 영향을 받았다는 증거도 없다고 함 | 미확인(회사) |
| 소스 코드 | 영어 공지는 취득되었다고 함. 일본어 공지에는 명시 없음 | 영어 공지에는 있고 일본어에는 없음 |
| 접근 경로 | 식별하고 차단함. 자격 증명을 어떻게 취득했는지는 명시되지 않음 | 조사 중(취득 방법) |
| 개별 통지 | 일본어 공지에는 명시 없음. 영어 공지는 영향이 확정되면 영향을 받은 고객에게 직접 알리겠다고 함 | 조사 중(영어 공지) |
| 부정 사용(2차 피해) | 명시되지 않음 | 명시되지 않음 |
| 당국 보고 | 회사는 수사 기관과 관련 감독 당국에 통지했다고 밝힘. 이 사이트는 당국의 발표를 확인하지 못했음 | 회사 설명 |
읽는 법: 일본어 공지와 영어 공지가 다른 부분
회사의 일본어 공지와 영어 공지는 일부 항목(소스 코드, 건수, 연락처 주소, 날짜)에서 다릅니다. 이 사이트는 각 내용이 어느 공지에서 나왔는지 밝힙니다. 최대 약 5만 건이라는 수치는 일본어 공지에만 있으며 전 세계 건수가 아니라 일본 내 건수입니다.
연락처, SQL 기록, 지원 티켓이 초래할 수 있는 일
다음은 이러한 항목의 조합이 일반적으로 초래할 수 있는 일이며, 회사가 이번에 일어났다고 말한 것이 아닙니다.
- 이름 + 이메일 + 회사명 + 전화번호 + 주문 내역: 계약이나 청구를 아는 듯한, 회사나 거래처를 사칭한 메시지의 재료가 됩니다
- 조직, 프로젝트, 클러스터 ID의 연결 관계: 어떤 환경을 쓰는지 아는 듯한 그럴듯한 메시지를 만들 수 있습니다
- SQL 편집기 기록과 오류: 접속 대상 이름, 테이블 구조, 붙여 넣은 자격 증명이 포함되어 있다면 노출된 것으로 보세요(공지는 포함 여부를 밝히지 않습니다)
- 지원 티켓: 장애나 환경에 대한 설명, 붙여 넣은 설정이나 자격 증명이 들어 있을 수 있습니다. "지원 요청 후속 안내" 같은 메시지에 쓰일 수 있습니다
- API 키의 Public Key 부분: 회사는 암호화되어 있고 Private Key 없이는 아무것도 조작할 수 없다고 밝혔습니다. 그래도 교체는 부담이 적은 안전 측 조치입니다(이 사이트의 조언)
운영자와 클라우드 이용자가 점검할 것
자격 증명이 어떻게 탈취되었는지는 공개되지 않았습니다. 여기서는 공개된 사실(탈취된 계정 자격 증명으로 내부 시스템에 들어왔고, 지원과 기록에 정보가 남아 있었고, 키가 교체되었음)에서 나오는 일반적인 점검 사항만 다룹니다.
- 지원에 보내는 내용: 붙여 넣는 설정과 로그에서 비밀번호, 토큰, 접속 문자열을 지우세요. 필요하면 임시 자격 증명을 제공하고 끝난 뒤 폐기하세요
- SQL 편집기와 콘솔 기록: 기록에 남은 비밀 정보는 계속 남는다고 가정하고 사용하세요. SQL에 자격 증명을 직접 쓰지 말고 비밀 관리 수단으로 전달하세요
- API 키 관리: 용도별로 키를 나누고, 권한을 제한하고(최소 권한), 정기적으로 교체하고, 쓰지 않는 키는 목록을 만들어 삭제하세요(이 사이트의 추가 권고, 환경 변수와 API 키 기본)
- 벤더 사고에 대비하기: 벤더 콘솔에 들어갈 수 있는 사람을 제한하고, 다중 인증을 요구하고, 로그인과 키 생성 알림을 켜세요(다중 인증 고르는 법)
이는 일반적인 점검 사항이며 회사나 이용자가 이를 하지 않았다는 뜻이 아닙니다.
출처(공개 자료)
이 글의 사실은 아래 공개 정보에서 나왔습니다. 공개되지 않은 사정이나 취득된 데이터의 범위는 추측하지 않습니다.
- PingCAP K.K., 무단 접근에 의한 정보 유출에 관한 일본어 공지(2026년 10월 21일 13:05 추기, 11월 3일 확인, 일본어) — pingcap.co.jp
- PingCAP, Security Update – October 2026(영어, 본사, 11월 3일 확인) — pingcap.com
업데이트 기록
2026-11-03: 첫 버전. 회사의 일본어 공지(10월 21일 추기 포함)와 영어 공지(11월 3일 확인, 더 새로운 업데이트 없음)를 바탕으로 했습니다.
다음으로 읽을 글
- 자격 증명에서 시작된 사건: 탈취된 자격 증명에서 시작된 2026년 침해 사건
- API 키와 비밀 정보 관리: 환경 변수와 API 키 기본 / 유출된 뒤에도 유효한 자격 증명
- 유사 사건: Railway 환경 변수 노출 가능성, Northflank 사건과 API 키
- 사기 메시지 대비: 피싱이란?
- 계정 보호: 다중 인증 고르는 법
- 2026년 기타 사건: 데이터 유출 및 사이버 공격(일본과 해외)