PingCAP、盗まれたサービスアカウント認証情報で約1か月の不正アクセス　ソースコードや顧客の請求・利用データが流出、日本で最大約5万件の個人情報

PingCAPが10月19日に公開したインシデント報告によると、同社は10月7日に事態を把握し、同日から該当する認証情報の無効化を始めた。10月14日までに特定済みの侵害された認証情報はすべて無効化され、不正なアクセス経路も遮断した。外部の調査会社が指摘した4件の脆弱性も同日までに修正し、再テストで解消を確認している。露出したのは顧客のアカウント情報、請求や契約条件、SQLエディタの入力やエラー、暗号化されたAPIキーのテーブルなどで、APIキーは暗号化により悪用できない状態だったと説明している。日本法人の告知では、日本国内で最大約5万件の個人情報が漏洩し、TiDB Cloudへの不正アクセスやクレジットカード情報の流出は確認されていないとしている。一方、犯行を主張するFulcrumSecは、リポジトリにコミットされていたサービスアカウントの認証情報が侵入口だったとし、Jiraのチケットや数年分の接続ログなども入手したと主張しているが、これらは検証されていない。PingCAPは調査を続けており、利用者にはキーのローテーションとログの確認が呼びかけられている。