TiDB Cloud 10.6TB 데이터 유출 공개
원제: PingCap TiDB Leaks
왜 중요한가
멀티테넌트 DB 클라우드 서비스가 제어 플레인 전체를 수개월간 탐지 없이 유출당한 사례로, 클라우드 데이터베이스 공급망 보안의 취약성을 정면으로 드러냈다.
보안 그룹 FulcrumSec이 2024년 9월 30일 PingCAP의 TiDB Cloud에서 총 10.6TB, 약 490만 개 파일을 탈취했다고 공개했다. 유출 데이터에는 18만여 테넌트 조직, 40만 개 이메일, 11만5천 개 평문 API 키, 2천만 건 이상의 고객 SQL 구문이 포함됐으며, 탐지 없이 88회 연속 자동 반출이 이뤄졌다.
FulcrumSec은 PingCAP의 TiDB Cloud 제어 플레인 전체를 장악했다고 밝혔다. 공격자들은 PingCAP 자체 코드 저장소에 커밋된 GCP 서비스 계정 키와 Azure 서비스 주체 자격증명을 이용해 제어 플레인 데이터베이스(metadb)의 복제 피드를 자체 인프라로 구성했다. 이후 2024년 9월 8일부터 30일까지 22일간, 6시간마다 자동으로 전체 테이블을 반출하는 파이프라인이 가동됐다. 총 88회 반출이 이뤄지는 동안 단 한 건의 탐지 이벤트도 발생하지 않았으며, 마지막 반출은 9월 30일 06:02 UTC에 실행됐다.
탈취 데이터의 규모는 방대하다. 18만46개 테넌트 조직, 29만2천여 사용자 계정, 40만3천262개 고유 이메일, 11만5천308개 평문 콘솔 API 키(이 중 4만2천612개 활성), 2천645만7천34개 서버리스 클러스터 정보가 포함됐다. 또한 고객 마이그레이션 작업에서 수집된 MySQL/Aurora root·admin 계정 1천809건, AWS 계정 ID 290개, GCP 프로젝트 ID 85개도 유출됐다.
특히 심각한 것은 SQL Editor 및 Chat2Query에서 수집된 고객 SQL 구문 2천64만5천574건이다. 의료진 정보 테이블 생성 구문, 브라질 클리닉의 환자 명단 삽입 구문 등 민감한 비즈니스 로직과 개인정보가 포함된 것으로 확인됐다. 게이트웨이 접속 로그에서는 고객 애플리케이션 서버 IP 503만6천738개와 1억200만 건 이상의 연결 기록도 확보됐다고 FulcrumSec은 주장했다. GCP 스토리지 버킷 약 50개, 5억3천380만 행 규모의 BigQuery 데이터 웨어하우스, Jira 이슈 37만7천446건, CRM 연락처 43만3천928건, 비공개 소스 저장소 413개도 탈취 목록에 포함됐다.