TiDB Cloud、10.6TB規模の大規模情報漏洩
原題: PingCap TiDB Leaks
なぜ重要か
マルチテナント型マネージドDBサービス全体への信頼が問われる事案であり、認証情報管理とクラウド監視体制の業界標準見直しを迫る。
セキュリティ調査会社FulcrumSecは、PingCAPが提供するマネージドデータベースサービス「TiDB Cloud」から合計10.6TBのデータが約2ヶ月にわたり窃取されたと公表した。漏洩データには18万テナント情報、40万件超のメールアドレス、115,308件の平文APIキー、2,064万件超の顧客SQLステートメント、413本のプライベートソースリポジトリが含まれる。
FulcrumSecは、PingCAPのTiDB Cloudに対し長期にわたる侵害を実施したと主張するレポートを公開した。同社によれば、PingCAPのリポジトリにハードコードされていたGCPサービスアカウントキーおよびAzureサービスプリンシパルの認証情報を悪用し、本番コントロールプレーンデータベースのレプリケーションフィードを独自に構築。9月8日から9月30日の22日間、6時間ごとに自動エクスポートを実施し、合計88回の連続エクスポートが一度も検知されることなく完了したとしている。最後のエクスポートは9月30日06:02 UTCに実行された。
窃取されたデータの内訳は膨大だ。コントロールプレーンのメタデータベースには18万46のテナント組織、29万2,276件のユーザーレコード（うち16万6,108件は実名）、40万3,262件のユニークメールアドレス、344万8,054件のサーバーレスクラスター情報が含まれる。特に深刻なのは、115,308件のAPIキーペアが平文で保存されており、そのうち42,612件が侵害終了時点でも有効だったとされる点だ。
顧客のSQL Editorおよび「Chat2Query」機能から取得した2,064万5,574件のSQLステートメントには、医療従事者のテーブル定義やブラジルのクリニックの患者名簿を挿入するクエリなど、顧客データベースの実データに相当する内容が含まれている。また、顧客のMySQL/AuroraホストのルートおよびAdmin認証情報に当たる1,809件の外部データベースエンドポイント、GCPストレージバケット約50個、5億3,380万行のBigQueryウェアハウス、377,446件のJiraイシュー、433,928件のCRM連絡先、AWS費用データ92GB、413本のプライベートソースリポジトリも含まれるとしている。
FulcrumSecはPingCAPを名指しで批判し、「数百万ドルをEDRに投じながら、自社のAWS・GCP・Atlassian・Azure各サービスから大規模かつ目立つ形の侵害と情報窃取が約2ヶ月間検知できなかった。クラウドプロバイダーとして極めて無責任だ」と述べている。PingCAPからの公式声明は現時点では確認されていない。