2026年9月9日から10月7日（米国時間、以下同じ）にかけて、第三者が不正取得したアカウントの認証情報を使用し、PingCAPの社内システムへのアクセス、データの複製を取得し、日本国内で最大約5万件の個人情報が漏洩したことが判明しました。PingCAPは10月7日に本インシデントを認識し、同日中に影響を受けた認証情報の無効化を開始しました。関係者の皆様にはご迷惑とご心配をおかけし、深くお詫び申し上げます。
弊社、外部調査機関ともにTiDB Cloudを調査した結果、TiDB Cloud への不正アクセス、クレジットカード情報の流出は確認されておりません。
当社は引き続き調査を進めており、新たな事実が判明次第、順次更新を提供いたします。現時点で、不正取得が確認された認証情報はすべて無効化され、特定された不正アクセス経路は遮断されています。
外部調査機関との共同調査を行い、エクスポートされた記録も含めて検証しました。その結果、現時点で影響が確認されているお客様データの種類は以下の通りです。
なお、影響を受けたデータの種類はお客様によって異なり、すべてのお客様に以下のすべてが該当するわけではありません。
| 情報カテゴリ | 調査により確認された事項 |
|---|---|
| TiDB Cloudアカウント情報 | ユーザー名、メールアドレス、組織・プロジェクトの関連付け、SQLエディタの実行履歴およびエラー情報（組織、プロジェクト、クラスタIDを含む） |
| 取引関連情報 | お客様の連絡先（氏名、メールアドレス、企業名、電話番号）
契約条件（注文内容、支払い条件、請求設定） |
| 認証情報 | TiDB Cloud APIキーのPublic Key部分
Private Key部分は流出していないため、流出したPublic KeyのみでTiDB Cloud操作はできません。 |
現時点までに実施した対応
・外部のセキュリティ専門会社と連携し、影響範囲の検証、残存リスクの評価、侵入経路の特定を実施
・流出が確認されたキーおよび弊社が管理する重要なキーのローテーション
・アカウント権限の厳格化、ネットワーク管理の見直し
・クラウドサービスへの新たな脅威検知の仕組みの導入
・法執行機関への届出、および関係各国の監督当局への報告
お客様にお願いしたい対応
(1) アクセスログのご確認
TiDB Cloudおよび関連するクラウドアカウントについて、アクセスログをご確認いただき、不審なIPアドレスからのアクセスや、身に覚えのない操作がないかご確認ください。
(2) アカウントおよびアクセス権限の見直し
TiDB Cloudの組織メンバーおよびロール（権限）をご確認いただき、必要に応じて、不要なアカウントの削除やアクセス権限の見直しをご検討ください。
(3)フィッシングメールへのご注意
弊社を装ったメールや、本件に関連する不審なメールが届く可能性がございます。弊社がメールでパスワードやアクセスキーをお尋ねすることはございません。
不審なメールを受信された場合は、返信やリンクのクリックを避け、インシデント対応窓口までご連絡ください。
(4) APIキーのローテーション
TiDB CloudでAPIキーを発行しているお客様は、APIキーのローテーションの実施をお願いいたします。
現在も外部調査機関とともに、調査を継続しております。
本件に関するお問い合わせ窓口
本件につきましてご不明な点やご不安な点がございましたら、下記窓口までお問い合わせください。
PingCAP株式会社 インシデント対応窓口
メール：security-jp@pingcap.com