PingCAP TiDB Cloud · Vazamento

PingCAP confirma invasão interna; FulcrumSec alega roubo de 10,6 TB

08 de set. de 2026 · 1 min de leitura

A PingCAP confirmou acesso não autorizado a sistemas internos entre 9 de setembro e 7 de outubro de 2026, por uma conta GitHub comprometida e credenciais de nuvem expostas; foram copiados histórico do editor SQL, contatos e registros de contratos e faturamento de clientes do TiDB Cloud. A investigação da NebuSec não encontrou acesso a bancos de clientes em produção, e todas as credenciais comprometidas foram invalidadas até 14 de outubro. O grupo FulcrumSec alega ter roubado 10,6 TB; clientes devem rotacionar chaves de API do TiDB Cloud e credenciais compartilhadas com o suporte.

Por Redação HIFY Radar Atualizado 26/10/2026 13:38 Receba isso todo dia →← Voltar ao feed 4 fontes

AltaVazamentoSem software a atualizar

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A PingCAP confirmou que invasores acessaram sistemas internos entre 9 de setembro e 7 de outubro de 2026 com uma conta GitHub comprometida e credenciais de nuvem expostas. Os atacantes copiaram dados de clientes do TiDB Cloud, como histórico do editor SQL, contatos e registros de contratos e faturamento. O grupo FulcrumSec alega roubo de 10,6 TB e cita mais de 180 mil organizações afetadas; a Bitget, citada na lista, afirma que nenhum dado de usuário foi exposto.

Por que importa

O incidente atinge clientes do TiDB Cloud, plataforma de banco de dados gerenciado, mas a investigação independente não encontrou acesso a bancos de clientes em produção. Dados comerciais sensíveis, como condições contratuais e faturamento, e credenciais compartilhadas em chamados de suporte foram expostos, com risco de acesso posterior. A comunicação da PingCAP no Japão informa vazamento de até cerca de 50 mil registros de dados pessoais.

O que fazer

Rotacionar agora as chaves de API de gerenciamento do TiDB Cloud e qualquer credencial compartilhada com o suporte da PingCAP, revisar logs de acesso e permissões e alertar equipes contra phishing que mencione o incidente.

Para o time técnico

Afetados: PingCAP TiDB Cloud (plataforma de banco de dados hospedada) · TiDB Cloud (clientes); sem versões de produto afetadas listadas. Segundo a NebuSec, não houve acesso a clusters TiDB de clientes em produção.
Exploração: Exploração confirmada pela PingCAP e pela NebuSec entre 9 de setembro e 7 de outubro de 2026. O grupo FulcrumSec alega roubo de 10,6 TB em 4,9 milhões de arquivos, com mais de 180 mil organizações afetadas, e publicou amostra de cerca de 200 GB; alegações sem verificação independente até 20 de outubro.
Correção: Sem patch de produto. Credenciais críticas invalidadas em 7 de outubro e todas as identificadas até 14 de outubro; quatro vulnerabilidades achadas na revisão do código-fonte foram corrigidas e retestadas pela NebuSec, sem evidência de exploração prévia. Clientes devem rotacionar chaves de API de gerenciamento do TiDB Cloud e credenciais compartilhadas com o suporte.
Vetor: Entrada inicial via conta GitHub comprometida, expondo repositórios privados. O atacante coletou chaves e tokens dos repositórios e do Terraform state e pivotou para Google Cloud, Jira e mensageria interna usada para alertas do TiDB. Via chamados do Jira, colheu credenciais compartilhadas por clientes em fluxos de suporte, incluindo chaves AWS, e alcançou buckets S3 e o data warehouse BigQuery.
Mais detalhes: NebuSec, contratada pela PingCAP, conduziu a investigação: sem evidência de execução de comandos ou persistência. Chaves de API do TiDB Cloud nos dados exportados estavam criptografadas e a chave de criptografia não foi exposta; o mesmo não vale para credenciais recuperadas de materiais de suporte. Avisos da PingCAP Japão: até cerca de 50 mil dados pessoais no Japão, sem confirmação de acesso indevido ao TiDB Cloud nem de vazamento de dados de cartão de crédito; adição de 21 de outubro inclui informações de chamados de suporte. Outros clientes citados pelo FulcrumSec: Pionex e Baidu. PingCAP notificou autoridades policiais e reguladores e confirmou WAF nos 16 serviços expostos à internet identificados.