PingCAPへの不正アクセスによる社内システム侵害と顧客情報漏洩（日本国内最大約5万件）
公表日
分散データベース「TiDB」を提供するPingCAPの社内システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、日本国内で最大約5万件の顧客個人情報やSQL実行履歴などが流出した可能性があります。
対象者は？
TiDB Cloudを利用している日本国内の顧客（最大約5万件）。アカウント情報、SQLエディタの履歴、サポートチケット、連絡先、契約条件などが対象となった可能性があります。なお、TiDBデータベース内の実データやクレジットカード情報は含まれていません。
PingCAPからの個別連絡や、TiDB Cloudコンソールのアクセスログを確認してください。
いますぐできること
- TiDB Cloudの管理APIキーを発行している場合は、直ちに新しいキーを再生成（ローテーション）し、古いキーを無効化する。
- TiDB Cloudの組織メンバー一覧と付与されている権限を確認し、不要なアカウントの削除や権限の最小化を行う。
- 連絡先や契約情報が悪用された不審なメール（標的型フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。）に警戒し、メール内の不審なリンクやパスワード入力要求に応じない。
何が起きたのか
2026年9月9日から10月7日にかけて、第三者が不正に取得したサービスアカウントの認証情報を使ってPingCAPの社内システムに侵入しました。攻撃者はデータを複製し、顧客のアカウント情報やSQLエディタの実行履歴、サポートへの問い合わせ履歴、契約情報などを持ち出しました。10月7日に同社が異変を認識し、認証情報の無効化やシステムの修正を行いました。
なぜ起きたのか・なぜ広がったのか
不正に入手されたサービスアカウントの認証情報が社内システムへの侵入に悪用されたことに加え、クラウドプロジェクト間で過剰なアクセス権限が設定されていたことや、ストレージのアクセス監視ログが一部で不足していたことが原因とみられます。
いまの状況2026-10-21 時点続報待ち
不正侵入経路の遮断、侵害された認証情報の無効化、発見された4件の脆弱性の修正が完了しています。外部調査機関とともに調査を継続しており、監督当局や警察への報告も行われました。TiDB Cloud内の保存データやクレジットカード情報の流出は確認されていません。
企業として考えたいこと
自社が利用している外部クラウドサービスの管理画面やサポートチケットに、本番環境のパスワードやアクセスキーなどの機微情報が記録されていないか確認できていますか？
技術的な要約
分散データベース「TiDB」を提供するPingCAPにおいて、2026年9月9日から10月7日にかけて社内システムへの不正アクセスが発生した。攻撃者は不正に取得したサービスアカウントの認証情報を用いて侵入し、社内システムやクラウドリソースからデータを複製してソースコードや顧客関連情報を持ち出した。日本国内では最大約5万件の個人情報（アカウント情報、SQLエディタ実行履歴、サポートチケット情報、取引連絡先など）が流出した可能性があることが判明している。外部調査機関の調査ではTiDB Cloud自体への不正アクセスやクレジットカード情報の流出は確認されていない。PingCAPは影響を受けた認証情報の無効化、アクセス経路の遮断、発見された4件の脆弱性の修正を実施し、関係当局への報告および顧客へのAPIキー更新要請を行った。
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式発表によると、第三者が不正に取得したサービスアカウントの認証情報を使用してPingCAPの社内システムにアクセスした。脅迫グループFulcrumSecは、ソースコードリポジトリ内にコミットされていたクラウド認証情報を発見して悪用したと主張している。
- 脆弱性
- CVE 非公表公表で確認社内システム / クラウド管理環境2026年10月12〜13日に外部インシデント対応企業から報告された4件の脆弱性。CVE番号や製品名は非公表。10月14日までに修正および再テストが完了した。
- 攻撃者
- FulcrumSec 被害組織は認めていないPingCAPから10.6TBのデータ、11万5,000件のコンソールAPIキー、2,000万件以上のSQLクエリ、4年分の接続ログ、413件のプライベートリポジトリを窃取し、内部サービス管理システムを複製して22日間にわたり6時間ごとにデータを自動取得したと主張。
- ATT&CK
影響
- 業務停止
- なし TiDB Cloudサービス自体への不正アクセスやデータベースの稼働停止などの影響は確認されていない。
- データ
- おそれ上限 50,000確定 —件氏名メール電話会員ID業務データ取引先情報その他日本国内で最大約5万件の個人情報が流出対象。内訳としてTiDB Cloudアカウント情報（ユーザー名、メールアドレス、組織・プロジェクト関連付け、SQLエディタの実行履歴・エラー情報、サポートチケット情報）、取引関連情報（顧客氏名、企業名、メールアドレス、電話番号、契約条件）、暗号化されたTiDB Cloud APIキーのPublic Key部分、ソースコードが含まれる。攻撃者グループは18万組織超、29万件以上のユーザーレコードを含む10.6TBの流出を主張している。
- 波及先
- —
- クラスメソッド株式会社（販売パートナー、侵害は未確認）
- Bitget（調査の結果、ユーザーデータの露出は確認されず）
- AirBnB、Booking.com、Baidu、富士通（報道・研究者分析により下流顧客としてリスクが言及された企業群）
- 金銭影響
- —
- サプライチェーン
- マネージドデータベースサービス（TiDB Cloud）を提供するPingCAPの社内管理システムが侵害され、下流の多数の顧客組織のメタデータ、SQLクエリログ、APIキー、契約情報などが漏洩リスクに晒された。
時系列
- 2026-09-01PingCAPがNCC GroupによるTiDBバージョン8.5.2のセキュリティ評価結果を公表し、新CISOの就任を発表する8
- 2026-09-09
- 2026-10-07
- 2026-10-10
- 2026-10-12
- 2026-10-14
- 2026-10-19
- 2026-10-20
- 2026-10-21
- 2026-10-21 13:05
技術解説
不正アクセスの経緯と侵害された社内環境 事実
2026年9月9日から10月7日（米国時間）にかけて、第三者が不正に取得したサービスアカウントの認証情報を用いてPingCAPの社内システムに侵入し、データを複製して持ち出した。PingCAPは10月7日にインシデントを認識し、同日中に影響を受けた認証情報の無効化に着手した。10月10日には追加で判明した侵害認証情報の削除、クラウドプロジェクト間の過剰な権限の解消、クラウドストレージアクセスログの有効化を実施した。外部インシデント対応企業は10月12日から13日にかけて4件の脆弱性を報告し、同社は10月14日までにこれら4件の修正および再テストを完了して、特定されたアクセス経路を遮断した。日本国内では最大約5万件の個人情報（TiDB Cloudのアカウント情報、SQLエディタ実行履歴・エラー情報、サポートチケット情報、取引連絡先や契約条件、暗号化されたAPIキーの公開鍵部分）が漏洩対象となったことが公表されている。同社と外部調査機関の調査では、TiDB Cloud自体への不正アクセスやクレジットカード情報の流出は確認されていない。
顧客データベースの保護とコントロールプレーン情報の露出 解釈
本インシデントでは、顧客のデータベースインスタンス自体に対する直接侵害は確認されなかったものの、マネージドサービスを統括するコントロールプレーンや周辺社内システムが侵害された点に構造的な深刻さがある。クラウドデータベース運用では、インスタンス内のデータ保護と管理プレーンのセキュリティが論理的に分離されていることが前提とされる。しかし、管理システム側には顧客の利用メタデータ、SQLエディタの実行履歴、サポートチケット、契約情報などが集約されていた。特にSQLエディタのクエリ実行履歴には、クエリ内に埋め込まれた業務データや機微情報が含まれ得るため、データベース本体が直接侵害されなくとも実質的な情報漏洩につながるリスクを孕んでいる。さらに、サポート対応時にエンジニアが機微な接続情報をチケットへ記録する運用が存在していた場合、社内ツールの侵害が顧客の本番インフラへの波及リスクに直結する。データベース基盤そのものの堅牢性だけでなく、それらを取り巻く運用管理系ツールの多層防御とデータ最小化の重要性を示している。
脅迫グループの主張と公式発表における開示範囲の乖離 解釈
攻撃を主張する脅迫グループFulcrumSecの声明と、PingCAP公式の発表内容との間には開示範囲や影響規模に関して大きな隔たりが存在する。FulcrumSecは10.6TBのデータ、11万5,000件のAPIキー、2,000万件以上のSQL文、413件のプライベートリポジトリを窃取し、22日間にわたり6時間ごとにデータを自動取得したと具体的に主張している。これに対し、PingCAP公式は特定の攻撃者グループの関与を公式には認定しておらず、日本国内で最大約5万件の個人情報影響を公表するにとどまる。また、暗号化APIキーについても公式発表では公開鍵部分のみであり悪用可能性を否定する一方、攻撃者は平文キーの入手を主張している。このような攻撃者の過大主張や未確認情報が飛び交う状況下では、利用企業側が公式発表の保守的な表現だけを鵜呑みにせず、最悪のシナリオ（APIキーの失効やクエリ履歴内の機微情報漏洩など）を想定して速やかに予防措置を講じるリスク判断が求められる。
長期潜伏を許した検知体制の課題とログ・権限の是正 解釈
本件では、2026年9月9日の不正アクセス開始から10月7日の検知まで約4週間にわたり侵害活動が継続していた。さらに、検知後の10月10日に追加のクラウドストレージアクセスログを有効化し、クラウドプロジェクト間の過剰な権限を解消している経緯から、平時の環境において異常なデータ抽出を即座に捕捉する監査ログやアラート体制が十分に機能していなかった可能性が窺える。分散型の大規模クラウド基盤では、サービスアカウントを用いた日常的なデータ連携が頻繁に行われるため、正規の資格情報が悪用された場合に正当な業務アクセスとの判別が困難になりやすい。しかし、6時間ごとの定期的なデータエクスポートのような特異な挙動を長期間看過した背景には、データ転送量やAPI呼び出しパターンのベースライン監視の不備があったと考えられる。クラウド環境における最小特権設計と、通常とは異なる大量データ転送を検知する行動検知（UEBA）の実装がいかに不可欠であるかを浮き彫りにしている。
対応
- 封じ込め
- 不正取得が確認された認証情報の無効化、特定された不正アクセス経路の遮断、クラウドプロジェクト間の過剰な権限の削除、外部調査機関から報告された4件の脆弱性の修正と再検証、ストレージログの有効化、重要キーのローテーション、および新たな脅威検知の仕組み導入を実施した。
- 公表の仕方
- 2026年10月19日に米国本社がTrust Hub上でセキュリティアップデートを公表し、10月20日に顧客向け推奨アクションを公開。10月21日に日本法人が日本国内向けに最大約5万件の個人情報漏洩に関するリリースを公表し、同日13時5分にサポートチケット情報の追記を行った。
- 当局対応
- 法執行機関
- 関係各国の監督当局
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| サービスアカウントの認証情報保護と定期ローテーションの自動化 | 社内システムやクラウド管理リソースで使用するサービスアカウントのクレデンシャルは、コードリポジトリへの混入を防ぐプリコミットフック（Git-secrets等）を導入し、有効期限の設定とSecrets Manager等による自動ローテーションを義務付ける。 |
| クラウドプロジェクト間のアクセス権限の最小化と境界防御 | 開発・社内管理・本番環境などクラウドプロジェクト間で不要なアクセス権限（過剰権限）を排除し、IAMポリシーの定期的な棚卸しや最小特権アクセスレビューをCI/CDおよびクラウド設定監査ツールで自動実行する。 |
| クラウドストレージおよび管理APIの全件監査ログの常時有効化 | クラウドストレージ（S3やGCS等）のデータアクセスメトリクスや管理コンソールの監査ログをデフォルトで全リージョン有効化し、通常と異なるIP・頻度・大量データのエクスポートを検知するSIEMアラートルールを構築する。 |
| サポート窓口およびチケット管理システムにおける機微情報のマスキング | 顧客サポートシステムや社内チケット管理ツール（Jira等）において、APIキー・接続文字列・パスワードなどの認証情報が平文で貼り付けられないよう、DLP（データ損失防止）機能による自動検出・マスキング処理を導入する。 |
| SaaS・DBaaS利用時におけるコントロールプレーン侵害を想定した暗号化キー管理 | DBaaSを利用する組織は、提供元の管理プレーン侵害を想定し、管理APIキーの定期的なローテーション運用を策定するとともに、Webコンソール上のSQLエディタに機微データを直接含む生クエリを実行させない開発ガイドラインを徹底する。 |
自組織などでの確認項目
- 自社のクラウド環境や社内システムで利用しているサービスアカウントについて、認証情報のハードコード検知（シークレットスキャン）や自動ローテーションの仕組みが導入されているか。
- サポート窓口や問い合わせ管理システム（Jiraやチケット管理ツール等）において、顧客の接続情報やアクセスキーなどの機微情報が平文で貼り付けられていないか、マスキングや定期点検が行われているか。
- クラウドインフラにおけるプロジェクト間・サービスアカウント間のアクセス権限が最小特権の原則に従って設計されているか、またストレージアクセスログやコンソール監査ログが全域で有効化されているか。
未解明点
- 不正アクセスに利用されたサービスアカウントの認証情報が具体的にどのような経路で外部に流出・窃取されたのか。
- 外部インシデント対応企業から10月12〜13日に報告され、10月14日に修正された4件の脆弱性の具体的な内容および、修正前の悪用有無の調査結果。
- 脅迫グループFulcrumSecが主張する10.6TBに及ぶデータや顧客システムのクレデンシャルの流出に関する真偽の検証結果。
出典
- 1Aviatrix2026-10-22研究者本文確認済
- 2クラスメソッド株式会社2026-10-21公式本文確認済
- 3Hackaday2026-10-23報道本文確認済
- 4ビジネス＋IT2026-10-21報道本文確認済
- 5PingCAP株式会社2026-10-21公式本文確認済
- 6セキュリティ対策Lab2026-10-21報道本文確認済
- 7Safeguard2026-10-22研究者本文確認済
- 8The CyberSec Guru2026-10-22報道本文確認済
- 9サイバーセキュリティラボ2026-10-23報道本文確認済
- 10HookPhish2026-10-19研究者本文確認済
- 11InfoQ2026-10-25報道本文確認済
- 12PingCAP公式本文確認済
- 13Rescana2026-10-22研究者本文確認済
- 14ビジネス+IT2026-10-21報道本文確認済