Para: administradores de organizações que usam o TiDB Cloud e pessoas que contrataram ou contataram a PingCAP. Este artigo se baseia nos avisos oficiais da empresa e não trata de métodos de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar novas informações
- Quem é afetado
administradores de organizações que usam o TiDB Cloud e pessoas que contrataram ou contataram a PingCAP.
- Confirmado até agoraVer a tabela ↓
- Dados de conta do TiDB Cloud
- Informações de tickets de suporte
- Informações comerciais e de cobrança
Mais 1
- Parte de chave pública das chaves de API
- Ainda não confirmado
- Impacto em cada cliente afetado
- Se e quando os clientes serão notificados individualmente
- O que o número de cerca de 50.000 no Japão conta (pessoas ou registros)
Mais 3
- Como as credenciais foram obtidas
- O alcance completo dos dados obtidos, inclusive o código-fonte (não consta do aviso em japonês)
- Se ocorre algum uso indevido (dano secundário)
- O que fazer agoraVer os passos ↓
- Troque suas chaves de API
- Revise os logs de acesso e os membros e funções da organização
- Reveja o que você colou no editor SQL e nos tickets de suporte
Mais 2
- Verifique sem abrir links qualquer mensagem que diga ser da PingCAP
- Envie as consultas ao contato da página do aviso
- Onde verificar (fonte)Todas as fontes ↓
- PingCAP K.K., aviso em japonês sobre o vazamento de dados por acesso não autorizado (adendo de 21 de outubro de 2026 às 13:05; verificado em 3 de novembro)
- Última verificação
- Em 3 de novembro de 2026
Próximos avisos e o que verificamos
Em seu aviso em japonês, a empresa diz que informará as novidades conforme novos fatos surgirem e que continua a investigação com um investigador externo. Em 3 de novembro verificamos o texto dos avisos em japonês e em inglês. O aviso em japonês tem um adendo datado de 21 de outubro de 2026, às 13:05 (que acrescenta informações de consultas); não encontramos nenhuma atualização mais recente.
O que os administradores de organizações do TiDB Cloud devem fazer hoje
Troque suas chaves de API
A empresa pede aos clientes que emitiram chaves de API do TiDB Cloud que as troquem. Diz que a parte de chave privada não foi exposta. Opinião deste site: a parte de chave pública (armazenada criptografada) está entre as categorias confirmadas como afetadas.
- Acréscimo deste site: desative a chave antiga e depois passe para a nova os serviços que a usam (CI/CD, scripts de automação)
- Acréscimo deste site: exclua as chaves que você não usa mais em vez de recriá-las
Revise os logs de acesso e os membros e funções da organização
A empresa pede aos clientes que verifiquem os logs de acesso do TiDB Cloud e das contas de nuvem relacionadas em busca de endereços IP suspeitos ou ações que não reconheçam, e que revisem os membros e funções da organização e considerem remover contas desnecessárias ou ajustar permissões.
- Qualquer login, criação de chave ou inclusão de membro que você não reconheça
- Contas de pessoas que saíram ou mudaram de função, ou de prestadores que você não usa mais
- Direitos de administrador apenas para quem precisa
Reveja o que você colou no editor SQL e nos tickets de suporte
As categorias que a empresa confirmou como afetadas incluem o histórico de execução e as informações de erro do editor SQL, e as informações de consultas (tickets de suporte). O aviso em inglês diz «SQL editor text and errors»; o aviso em japonês não diz se o corpo das instruções executadas está incluído.
- Se você se lembra de ter colado strings de conexão, senhas, tokens ou chaves de API, altere-os como se tivessem vazado (conselho deste site)
- Se colou dados pessoais ou comerciais, avise o responsável por dados pessoais da sua organização
- No futuro, mascare os segredos antes de colá-los em pedidos de suporte
Verifique sem abrir links qualquer mensagem que diga ser da PingCAP
A empresa diz que podem chegar e-mails que se façam passar por ela ou e-mails suspeitos relacionados a este incidente. Pede que se evite responder ou clicar em links e que se contate seu contato de incidentes, e diz que não pede senhas nem chaves de acesso por e-mail.
Uma mensagem que pareça conhecer o nome da sua organização, os nomes dos seus projetos ou o assunto de um ticket de suporte não é prova de que seja genuína (opinião deste site). O que é phishing?
Envie as consultas ao contato da página do aviso
O aviso em japonês indica security-jp@pingcap.com como contato de incidentes da PingCAP K.K. O aviso em inglês indica security@pingcap.com. Confirme o endereço na página oficial do aviso.
1. Um e-mail ou ligação que diz ser da PingCAP ou do suporte dela
Cita sua organização ou o assunto de um ticket: não é prova
↓
2. Ignore os links; abra você mesmo a página oficial do aviso ou o console
↓
3-A Não consta do lado oficial
Pede senhas ou chaves de acesso: não atenda, denuncie
3-B O mesmo aviso no lado oficial
Siga a orientação oficial
O que aconteceu (segundo os avisos da PingCAP)
O que segue se baseia no aviso em japonês da empresa (cujo título é um pedido de desculpas e um relatório sobre o vazamento de dados por acesso não autorizado) e em seu aviso em inglês (Trust Hub, Security Update – October 2026).
9 de setembro a 7 de outubro de 2026 (horário dos EUA)
Um terceiro que usou credenciais de conta obtidas ilegalmente entrou em sistemas internos e copiou dados (explicação da empresa)7 de outubro
A empresa tomou conhecimento do incidente e começou a invalidar as credenciais afetadas no mesmo dia (explicação da empresa)10 a 14 de outubro
Segundo o aviso em inglês: no dia 10 excluiu credenciais adicionais, reduziu permissões excessivas entre projetos de nuvem e acrescentou o registro de acesso ao armazenamento; até o dia 14 tinha invalidado todas as credenciais identificadas e bloqueado as vias de acesso identificadas. (O aviso em japonês também diz que as vias de acesso identificadas foram bloqueadas.)19 de outubro
A página do aviso em inglês traz esta data (o aviso em inglês diz «Published: October 19, 2026»)21 de outubro, 13:05
Adendo ao aviso em japonês que acrescenta informações de consultas (tickets de suporte). A página em japonês não informa a data da primeira publicação3 de novembro
Este site verificou o texto dos dois avisos. Nenhuma atualização posterior ao adendo de 21 de outubro foi encontrada
- Dados de conta do TiDB Cloud
- Nomes de usuário, endereços de e-mail, associações de organização e projeto, histórico de execução e erros do editor SQL (inclusive os IDs de organização, projeto e cluster) e informações de consultas (tickets de suporte, acrescentadas em 21 de outubro). Varia conforme o cliente
- Informações comerciais e de cobrança
- Contatos (nome, endereço de e-mail, nome da empresa, telefone) e condições do contrato (pedidos, condições de pagamento, configurações de cobrança)
- Credenciais
- A parte de chave pública das chaves de API do TiDB Cloud (armazenada criptografada). A empresa diz que a parte de chave privada não foi exposta e que a chave pública sozinha não consegue operar o TiDB Cloud
- Não confirmado
- Vazamento de cartões de crédito e acesso não autorizado ao TiDB Cloud (aviso em japonês). O aviso em inglês diz que não há evidência de que os dados armazenados no TiDB tenham sido afetados nem de comandos executados nos sistemas de produção revisados
- Somente no aviso em inglês
- Diz que o terceiro obteve código-fonte. O aviso em japonês não diz isso
- Resposta da empresa
- Verificação do escopo e identificação das vias de acesso com uma empresa de segurança externa; troca das chaves expostas e das chaves administrativas críticas, reforço das permissões, revisão da gestão de rede, adição de nova detecção de ameaças; notificação às autoridades policiais e aos órgãos supervisores pertinentes (aviso em japonês)
O que se sabe e o que ainda não se sabe
A situação em 3 de novembro de 2026. Esta tabela será reescrita quando surgirem novidades.
| Item | O que o aviso diz | Situação |
|---|---|---|
| Período do acesso não autorizado | De 9 de setembro a 7 de outubro de 2026 (horário dos EUA) | Informado pela empresa (investigação em andamento) |
| Número | Até cerca de 50.000 registros pessoais no Japão. A unidade (pessoas ou registros) não é informada. O aviso em inglês não dá número | Até (empresa, aviso em japonês) |
| Dados de conta do TiDB Cloud | Nomes de usuário, endereços de e-mail, associações de organização e projeto, histórico de execução e erros do editor SQL | Vazamento confirmado (empresa) |
| Informações de tickets de suporte | Acrescentadas pelo adendo de 21 de outubro | Vazamento confirmado (empresa) |
| Informações comerciais e de cobrança | Contatos, pedidos, condições de pagamento, configurações de cobrança | Vazamento confirmado (empresa) |
| Parte de chave pública das chaves de API | Armazenada criptografada. A chave privada não foi exposta, então a chave pública sozinha não consegue operar o TiDB Cloud | Vazamento confirmado (empresa). O aviso em inglês diz que não está determinado se outras credenciais utilizáveis foram expostas |
| Parte de chave privada das chaves de API | Não foi exposta | Não incluída (empresa) |
| Impacto por cliente | Varia; nem todos os itens se aplicam a todos os clientes. O aviso em inglês diz que está determinando o impacto por cliente | Em investigação (aviso em inglês) |
| Corpo das instruções executadas no editor SQL | Não informado no aviso em japonês (aviso em inglês: «SQL editor text and errors») | Não informado |
| Informações de cartão de crédito | Vazamento não confirmado | Não confirmado (empresa) |
| Acesso não autorizado ao TiDB Cloud | Não confirmado. O aviso em inglês diz também que não há evidência de que os dados armazenados no TiDB tenham sido afetados | Não confirmado (empresa) |
| Código-fonte | O aviso em inglês diz que foi obtido. Não informado no aviso em japonês | Informado no aviso em inglês; não no japonês |
| Via de acesso | Identificada e bloqueada. Como as credenciais foram obtidas não é informado | Em investigação (o como) |
| Notificação individual | Não informada no aviso em japonês. O aviso em inglês diz que notificará diretamente os clientes afetados quando o impacto for estabelecido | Em investigação (aviso em inglês) |
| Uso indevido (dano secundário) | Não informado | Não informado |
| Comunicação às autoridades | A empresa diz que notificou as autoridades policiais e os órgãos supervisores pertinentes. Este site não confirmou nenhum anúncio de uma autoridade | Explicação da empresa |
Como ler: onde os avisos em japonês e em inglês diferem
Os avisos em japonês e em inglês da empresa diferem em alguns itens (código-fonte, o número, o endereço de contato e as datas). Este site indica de qual aviso vem cada ponto. O número de até cerca de 50.000 aparece apenas no aviso em japonês e é do Japão, não um total mundial.
A que dados de contato, histórico SQL e tickets de suporte podem levar
O que segue é a que, em geral, uma combinação desses itens pode levar; não é algo que a empresa tenha dito ter ocorrido aqui.
- Nome + e-mail + nome da empresa + telefone + detalhes do pedido: material para mensagens que se passam pela empresa ou por um parceiro comercial e parecem conhecer seu contrato ou sua cobrança
- Associações de organização, projeto e ID de cluster: permite redigir uma mensagem convincente que parece saber qual ambiente você usa
- Histórico e erros do editor SQL: se incluírem nomes de destinos de conexão, estrutura de tabelas ou credenciais coladas, trate-os como expostos (os avisos não dizem se estão incluídos)
- Tickets de suporte: podem conter a descrição de uma falha ou de um ambiente e configurações ou credenciais coladas. Podem ser usados para mensagens de «acompanhamento do seu pedido de suporte»
- Parte de chave pública das chaves de API: a empresa diz que está criptografada e que não opera nada sem a chave privada. Trocá-las continua sendo um passo barato e do lado seguro (conselho deste site)
O que operadores e usuários de nuvem devem revisar
Como as credenciais foram roubadas não foi publicado. Aqui estão apenas pontos gerais de revisão que decorrem dos fatos publicados (credenciais de conta roubadas foram usadas para entrar em sistemas internos, informações permaneceram no suporte e nos históricos, chaves foram trocadas).
- O que você envia ao suporte: retire senhas, tokens e strings de conexão das configurações e logs que colar. Se necessário, forneça credenciais temporárias e revogue-as depois
- Editor SQL e histórico do console: use-os partindo do princípio de que segredos deixados no histórico vão persistir. Não escreva credenciais diretamente no SQL; passe-as por um mecanismo de gestão de segredos
- Gestão de chaves de API: separe as chaves por finalidade, limite as permissões (privilégio mínimo), troque-as regularmente e faça o inventário e exclua as que não usa (acréscimo deste site; Noções básicas de variáveis de ambiente e chaves de API)
- Prepare-se para um incidente de fornecedor: limite quem pode entrar no console do fornecedor, exija autenticação multifator e ative notificações de login e de criação de chaves (Como escolher a autenticação multifator)
São pontos gerais de revisão e não significam que a empresa ou seus usuários deixaram de fazê-los.
Fontes (registros públicos)
Os fatos deste artigo vêm das informações públicas abaixo. Não conjecturamos sobre circunstâncias não divulgadas nem sobre o alcance dos dados obtidos.
- PingCAP K.K., aviso em japonês sobre o vazamento de dados por acesso não autorizado (adendo de 21 de outubro de 2026 às 13:05; verificado em 3 de novembro) — pingcap.co.jp
- PingCAP, «Security Update – October 2026» (em inglês, sede; verificado em 3 de novembro) — pingcap.com
Histórico de atualizações
2026-11-03: Primeira versão. Com base no aviso em japonês da empresa (inclusive o adendo de 21 de outubro) e no aviso em inglês (verificados em 3 de novembro; nenhuma atualização posterior encontrada).
Leia a seguir
- Incidentes que começam com credenciais: Vazamentos de 2026 que começaram com credenciais roubadas
- Gestão de chaves de API e segredos: Noções básicas de variáveis de ambiente e chaves de API / Credenciais vazadas que continuam válidas
- Incidentes semelhantes: Exposição de segredos da Railway, Incidente da Northflank e chaves de API
- Preparar-se para mensagens fraudulentas: O que é phishing?
- Proteja suas contas: Como escolher a autenticação multifator
- Outros incidentes de 2026: Vazamentos de dados e ciberataques (Japão e exterior)