- 重要度
- 重要度：5段階中4 最大約5万件
- 公表日
- 2026.10.21
- 原因の分類
- 認証情報・シークレット
- 対策可能性
- 判定保留
この記事の3行まとめ
- 第三者が盗んだアカウントの認証情報で社内システムに入られた
- 最大約5万件の個人情報が漏えいし、TiDB Cloudへの不正アクセスは確認されていない
- TiDB Cloudを利用する組織はアクセスログの確認とアクセス権限の見直しを行う
第三者が不正取得したアカウントの認証情報を使い、社内システムへのアクセスとデータの複製が行われた。日本国内の個人情報が最大約5万件漏えいした。TiDB Cloudへの不正アクセスとクレジットカード情報の流出は確認されていない。
確認された経路・公表元の推定
- 2026年9月9日から10月7日（米国時間）にかけて、第三者が不正取得したアカウントの認証情報を使い、社内システムにアクセスした
- 社内システムからデータが複製され、日本国内の個人情報が漏えいした
- 10月7日にPingCAPがインシデントを認識し、同日中に影響を受けた認証情報の無効化を開始した
- その後、特定された不正アクセス経路は遮断された
根拠の要点
公表元は、不正取得されたアカウントの認証情報の使用、社内システムへのアクセス、データの複製を、外部調査機関との共同調査でエクスポートされた記録も含めて検証した結果として説明している。特定された侵入経路の詳細は、資料に書かれていない。
資料の基準時点：2026年10月21日13:05の追記時点（取得日2026-11-03）
当時、対策できたのか
判定保留
資料は、侵入時点の既知脆弱性への未対応や認証設定の例外を明示しておらず、認証情報が不正取得された経緯も書いていない。そのため、対策の欠落は判断できない。
公表された対策
- 外部のセキュリティ専門会社と連携し、影響範囲の検証、残存リスクの評価、侵入経路の特定を実施
- 流出が確認されたキーおよび弊社が管理する重要なキーのローテーションを実施
- アカウント権限の厳格化とネットワーク管理の見直しを実施
- クラウドサービスへの新たな脅威検知の仕組みを導入
- 法執行機関への届出、および関係各国の監督当局への報告を実施
- 不正取得が確認された認証情報はすべて無効化し、特定された不正アクセス経路は遮断
- 利用者にアクセスログと組織メンバー・ロールの確認を求める
- APIキーを発行している利用者にAPIキーのローテーションを求める
- 不審なメールに注意し、返信やリンクのクリックを避けるよう求める
この事例を理解するための動画
【情報漏洩と脆弱性】APIキー・クラウド設定・共有リンク｜事故が起きる3つの入口まだ分からないこと
- 認証情報が不正取得された経緯と、最初に侵入された経路の詳細
- 最初の公表日。資料には2026年10月21日の追記日だけが書かれている
- 侵入の開始日時の詳細（資料は9月9日からの期間として記載）
- 影響を受けた個人情報の内訳と、各お客様の被害の有無
- 調査の結論（資料では調査は継続中とされている）
- PingCAPの本社所在地（資料に記載がない）