Для: администраторов организаций, использующих TiDB Cloud, и людей, заключавших договор с PingCAP или обращавшихся в компанию. Статья основана на официальных уведомлениях компании и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
- Кого это касается
администраторов организаций, использующих TiDB Cloud, и людей, заключавших договор с PingCAP или обращавшихся в компанию.
- ПодтвержденоСмотреть таблицу ↓
- Данные аккаунтов TiDB Cloud
- Информация из тикетов поддержки
- Деловая и платёжная информация
Ещё 1
- Часть Public Key API-ключей
- Пока не подтверждено
- Влияние на каждого пострадавшего клиента
- Будут ли и когда клиенты уведомлены индивидуально
- Что считает японская цифра около 50 000 (людей или записи)
Ещё 3
- Как были получены учётные данные
- Полный объём полученных данных, включая исходный код (в японском уведомлении его нет)
- Произойдёт ли неправомерное использование (вторичный ущерб)
- Что сделать сейчасСмотреть шаги ↓
- Замените ваши API-ключи
- Проверьте журналы доступа, а также участников и роли организации
- Вспомните, что вы вставляли в SQL-редактор и тикеты поддержки
Ещё 2
- Проверяйте всё, что выдаёт себя за PingCAP, не открывая ссылок
- Направляйте обращения на контакт со страницы уведомления
- Где проверить (источник)Все источники ↓
- PingCAP K.K., японское уведомление об утечке данных из-за несанкционированного доступа (дополнение от 21 октября 2026 года, 13:05; проверено 3 ноября, на японском языке)
- Последняя проверка
- По состоянию на 3 ноября 2026 года
Планы обновлений и что мы проверили
В японском уведомлении компания говорит, что будет сообщать о новых фактах по мере их выяснения и продолжает расследование с внешним специалистом. 3 ноября мы проверили текст японского и английского уведомлений. В японском уведомлении есть дополнение от 21 октября 2026 года, 13:05 (добавлена информация об обращениях); более новых обновлений мы не нашли.
Что администраторам организаций TiDB Cloud делать сегодня
Замените ваши API-ключи
Компания просит клиентов, выпустивших API-ключи TiDB Cloud, заменить их. Она говорит, что часть Private Key не была раскрыта. Мнение этого сайта: часть Public Key (хранится в зашифрованном виде) входит в подтверждённые затронутые категории.
- Дополнение этого сайта: отключите старый ключ, затем переведите на новый ключ использующие его сервисы (CI/CD, скрипты автоматизации)
- Дополнение этого сайта: удаляйте ключи, которыми больше не пользуетесь, а не создавайте их заново
Проверьте журналы доступа, а также участников и роли организации
Компания просит клиентов проверить журналы доступа TiDB Cloud и связанных облачных аккаунтов на подозрительные IP-адреса или незнакомые действия, а также пересмотреть участников и роли организации и подумать об удалении ненужных аккаунтов или корректировке прав.
- Любой вход, создание ключа или добавление участника, которых вы не узнаёте
- Аккаунты ушедших или переведённых сотрудников и подрядчиков, с которыми вы больше не работаете
- Права администратора только тем, кому они нужны
Вспомните, что вы вставляли в SQL-редактор и тикеты поддержки
К подтверждённым затронутым категориям компании относятся история выполнения SQL-редактора и информация об ошибках, а также информация об обращениях (тикеты поддержки). В английском уведомлении написано SQL editor text and errors; в японском не сказано, входит ли текст выполненных запросов.
- Если помните, что вставляли строки подключения, пароли, токены или API-ключи, смените их, как будто они утекли (совет этого сайта)
- Если вставляли персональные или деловые данные, сообщите ответственному за персональные данные в вашей организации
- В будущем маскируйте секреты перед вставкой в обращения в поддержку
Проверяйте всё, что выдаёт себя за PingCAP, не открывая ссылок
Компания говорит, что могут приходить письма от имени компании или другие подозрительные письма, связанные с этим инцидентом. Она просит не отвечать и не переходить по ссылкам, а обращаться на её контакт по инциденту, и говорит, что не запрашивает пароли или ключи доступа по электронной почте.
Сообщение, которое, похоже, знает название вашей организации, проекты или тему тикета, — ещё не доказательство подлинности (мнение этого сайта). Что такое фишинг?
Направляйте обращения на контакт со страницы уведомления
В японском уведомлении контактом по инциденту PingCAP K.K. указан security-jp@pingcap.com. В английском уведомлении указан security@pingcap.com. Проверьте адрес на странице официального уведомления.
1. Письмо или звонок от имени PingCAP или её поддержки
В нём названа ваша организация или тема тикета: это не доказательство
↓
2. Пропустите ссылки; откройте страницу официального уведомления или консоль сами
↓
3-A Нет на официальной стороне
Просит пароли или ключи доступа: не выполняйте, сообщите об этом
3-B То же уведомление есть на официальной стороне
Следуйте официальным рекомендациям
Что произошло (по уведомлениям PingCAP)
Ниже изложено по японскому уведомлению компании (в его заголовке — извинения и сообщение об утечке данных из-за несанкционированного доступа) и английскому уведомлению (Trust Hub, Security Update – October 2026).
С 9 сентября по 7 октября 2026 года (по времени США)
Третья сторона с помощью незаконно полученных учётных данных аккаунтов проникла во внутренние системы и скопировала данные (объяснение компании)7 октября
Компания узнала об инциденте и в тот же день начала аннулировать затронутые учётные данные (объяснение компании)С 10 по 14 октября
Согласно английскому уведомлению: 10-го удалила дополнительные учётные данные, сократила избыточные права между облачными проектами и добавила журналирование доступа к хранилищу; к 14-му аннулировала все выявленные учётные данные и заблокировала выявленные пути доступа. (В японском уведомлении тоже сказано, что выявленные пути доступа заблокированы.)19 октября
На странице английского уведомления указана эта дата (в английском уведомлении написано Published: October 19, 2026)21 октября, 13:05
Дополнение к японскому уведомлению, добавляющее информацию об обращениях (тикеты поддержки). На японской странице дата первой публикации не указана3 ноября
Этот сайт проверил текст обоих уведомлений. Обновлений новее дополнения от 21 октября не найдено
- Данные аккаунтов TiDB Cloud
- Имена пользователей, адреса электронной почты, связи организаций и проектов, история выполнения и ошибки SQL-редактора (включая ID организаций, проектов и кластеров) и информация об обращениях (тикеты поддержки, добавлено 21 октября). Различается у разных клиентов
- Деловая и платёжная информация
- Контакты (имя, адрес электронной почты, название компании, телефон) и условия договора (заказы, условия оплаты, настройки выставления счетов)
- Учётные данные
- Часть Public Key API-ключей TiDB Cloud (хранится в зашифрованном виде). Компания говорит, что часть Private Key не была раскрыта и что одним Public Key управлять TiDB Cloud нельзя
- Не подтверждено
- Утечка данных кредитных карт и несанкционированный доступ к TiDB Cloud (японское уведомление). В английском уведомлении сказано, что нет свидетельств влияния на данные, хранящиеся в TiDB, и свидетельств выполнения команд в проверенных производственных системах
- Только в английском уведомлении
- Сказано, что третья сторона получила исходный код. В японском уведомлении этого нет
- Ответные меры компании
- Проверка масштаба и выявление путей доступа с внешней охранной фирмой; замена раскрытых ключей и важнейших административных ключей, ужесточение прав, пересмотр управления сетью, добавление нового обнаружения угроз; уведомление правоохранительных органов и соответствующих надзорных органов (японское уведомление)
Что известно и что пока нет
Состояние на 3 ноября 2026 года. Эта таблица будет переписана, когда появятся продолжения.
| Пункт | Что говорится в уведомлении | Статус |
|---|---|---|
| Период несанкционированного доступа | С 9 сентября по 7 октября 2026 года (по времени США) | Заявлено компанией (расследование продолжается) |
| Количество | До примерно 50 000 записей персональных данных в Японии. Единица (люди или записи) не указана. В английском уведомлении числа нет | До (компания, японское уведомление) |
| Данные аккаунтов TiDB Cloud | Имена пользователей, адреса электронной почты, связи организаций и проектов, история выполнения и ошибки SQL-редактора | Утечка подтверждена (компания) |
| Информация из тикетов поддержки | Добавлена дополнением от 21 октября | Утечка подтверждена (компания) |
| Деловая и платёжная информация | Контакты, заказы, условия оплаты, настройки выставления счетов | Утечка подтверждена (компания) |
| Часть Public Key API-ключей | Хранится в зашифрованном виде. Private Key не раскрыт, поэтому одним Public Key управлять TiDB Cloud нельзя | Утечка подтверждена (компания). В английском уведомлении сказано, что не определено, были ли раскрыты другие пригодные учётные данные |
| Часть Private Key API-ключей | Не раскрыта | Не входит (компания) |
| Влияние на каждого клиента | Различается; не каждый пункт относится к каждому клиенту. В английском уведомлении сказано, что влияние на клиентов определяется | Расследуется (английское уведомление) |
| Текст запросов, выполненных в SQL-редакторе | В японском уведомлении не указан (английское: SQL editor text and errors) | Не указано |
| Информация о кредитных картах | Утечка не подтверждена | Не подтверждено (компания) |
| Несанкционированный доступ к TiDB Cloud | Не подтверждён. В английском уведомлении также сказано, что нет свидетельств влияния на данные, хранящиеся в TiDB | Не подтверждено (компания) |
| Исходный код | В английском уведомлении сказано, что получен. В японском не указан | Указано в английском уведомлении; в японском нет |
| Путь доступа | Выявлен и заблокирован. Как были получены учётные данные, не указано | Расследуется (как именно) |
| Индивидуальное уведомление | В японском уведомлении не указано. В английском сказано, что клиентов напрямую уведомят, когда влияние будет установлено | Расследуется (английское уведомление) |
| Неправомерное использование (вторичный ущерб) | Не указано | Не указано |
| Сообщения органам власти | Компания говорит, что уведомила правоохранительные органы и соответствующие надзорные органы. Этот сайт не нашёл подтверждающего заявления от какого-либо органа | Объяснение компании |
Как читать: где японское и английское уведомления расходятся
Японское и английское уведомления компании различаются по некоторым пунктам (исходный код, количество, контактный адрес и даты). Этот сайт указывает, из какого уведомления взято каждое утверждение. Цифра «до примерно 50 000» есть только в японском уведомлении и относится к Японии, а не ко всему миру.
К чему могут привести контактные данные, история SQL и тикеты поддержки
Ниже — то, к чему такое сочетание данных может привести в общем случае; компания не говорила, что здесь это произошло.
- Имя + почта + название компании + телефон + детали заказов: материал для сообщений от имени компании или делового партнёра, которые, кажется, знают ваш договор или счета
- Связи организации, проекта и ID кластера: позволяют составить убедительное сообщение, которое, похоже, знает, какой средой вы пользуетесь
- История и ошибки SQL-редактора: если в них есть названия целей подключения, структура таблиц или вставленные учётные данные, считайте их раскрытыми (в уведомлениях не сказано, входят ли они)
- Тикеты поддержки: могут содержать описание сбоя или среды и вставленные настройки или учётные данные. Их можно использовать для сообщений вида «продолжение вашего обращения в поддержку»
- Часть Public Key API-ключей: компания говорит, что она зашифрована и без Private Key ничем управлять нельзя. Замена всё же недорогой шаг на безопасную сторону (совет этого сайта)
Что стоит пересмотреть операторам и пользователям облака
Как были украдены учётные данные, не опубликовано. Ниже — только общие пункты для пересмотра, вытекающие из опубликованных фактов (украденные учётные данные аккаунтов использованы для проникновения во внутренние системы, информация оставалась в поддержке и истории, ключи заменены).
- Что вы отправляете в поддержку: убирайте пароли, токены и строки подключения из вставляемых настроек и журналов. При необходимости выдавайте временные учётные данные и отзывайте их после
- История SQL-редактора и консоли: пользуйтесь ими, считая, что секреты, оставленные в истории, сохранятся. Не пишите учётные данные прямо в SQL; передавайте их из механизма управления секретами
- Управление API-ключами: разделяйте ключи по назначению, ограничивайте права (наименьшие привилегии), регулярно заменяйте, составляйте список и удаляйте неиспользуемые (дополнение этого сайта; Основы переменных окружения и API-ключей)
- Подготовка к инциденту у вендора: ограничьте круг тех, кто может входить в консоль вендора, требуйте многофакторную аутентификацию и включите уведомления о входах и создании ключей (Как выбрать многофакторную аутентификацию)
Это общие пункты для пересмотра, и они не означают, что компания или её пользователи этого не делали.
Источники (открытые данные)
Факты в этой статье взяты из следующей открытой информации. Мы не гадаем о нераскрытых обстоятельствах и объёме полученных данных.
- PingCAP K.K., японское уведомление об утечке данных из-за несанкционированного доступа (дополнение от 21 октября 2026 года, 13:05; проверено 3 ноября, на японском языке) — pingcap.co.jp
- PingCAP, «Security Update – October 2026» (на английском, головной офис; проверено 3 ноября) — pingcap.com
История обновлений
2026-11-03: Первая версия. Основана на японском уведомлении компании (включая дополнение от 21 октября) и английском уведомлении (проверено 3 ноября; более новых обновлений не найдено).
Читайте далее
- Инциденты, начавшиеся с учётных данных: Взломы 2026 года, начавшиеся с украденных учётных данных
- Управление API-ключами и секретами: Основы переменных окружения и API-ключей / Утёкшие учётные данные, остающиеся действительными
- Похожие инциденты: Возможная утечка переменных окружения Railway, Инцидент Northflank и API-ключи
- Подготовка к мошенническим сообщениям: Что такое фишинг?
- Защита аккаунтов: Как выбрать многофакторную аутентификацию
- Другие инциденты 2026 года: Утечки данных и кибератаки (Япония и зарубежье)