Max Liu（PingCAP 共同創業者 兼 CEO） | 公開日：2026年10月23日 PT
原文：https://www.pingcap.com/trust-hub/security/ceo-note-october-2026/
※本記事は原文（英語）の翻訳版です。日本語訳と原文（英語）の内容に差異や齟齬が生じた場合は、原文（英語）が優先されます。
透明性の確保に向けた取り組みの一環として、PingCAPのシステムに影響を及ぼした先般のセキュリティインシデントに関する最新の状況を、お客様およびパートナーの皆様へ直接ご報告いたします。
2026年9月9日から10月7日にかけて、権限のない第三者が侵害された認証情報を悪用し、PingCAPの社内システムへのアクセスを行いました。その結果、お客様からお預かりしていた情報を含む社内データが複製されました。
私たちが保護すべきであったそれらの情報を、本来あるべき水準で守ることができませんでした。情報が露出してしまった事実そのものに加え、お客様の関係部署の皆様に多大なご対応の負担をおかけしたこと、そして関係する皆様にご不安とご心配をおかけしましたことを、深くお詫び申し上げます。この事態は私の統括責任のもとで発生したものです。私自身がその責任を受け止め、抜本的な是正と改善に全力を尽くしてまいります。
第三者調査機関による調査結果
当社は本インシデントを極めて深刻に受け止めており、独立した調査を実施するために複数のサイバーセキュリティ企業と連携いたしました。このたびNebuSecによる調査が完了し、その調査結果がこちらに公開されました。要点は以下の通りです。
- 2026年9月9日から10月7日の間、攻撃者は侵害されたGitHubアカウントと露出した認証情報を悪用してPingCAPの社内システムにアクセスし、ソースコードを取得したほか、社内の分析環境、ストレージ、およびサポート環境から記録を複製しました。
- NebuSecの調査では、お客様のTiDBデータベースに保存されているデータにアクセスされた証拠は確認されず、当社の本番環境において攻撃者による侵害が永続化（維持）されていた証拠も確認されませんでした。
- 社内の分析・ストレージ・サポートシステムから顧客関連情報が複製されました。露出したデータの各カテゴリーおよびその取得元については、NebuSecのレポートに一覧として記載されています。
- エクスポートされたデータに含まれるTiDB CloudのAPIキーの値は暗号化されており、その暗号鍵は露出していませんでした。ただし、サポート資料等でお客様から共有された認証情報はこの対象外となります。
- 特定された侵害済みの認証情報はすべて失効・無効化されました。また、NebuSecがレビューの過程で特定した脆弱性は修正および再テストが完了しており、それらが修正前に悪用された証拠は見つかっていません。
NebuSecのレポートに記載されているデータ露出の範囲や種類は、お客様ごとに異なります。お客様の組織における具体的な影響範囲の確認につきましては、PingCAP株式会社 インシデント対応窓口までお問い合わせください。
お客様へお願いする対応事項
- TiDB Cloud管理APIキーの再発行（ローテーション）：TiDB CloudでAPIキーを発行しているお客様は、APIキーのローテーションの実施をお願いいたします。
- PingCAPサポートへ過去に共有した情報のローテーション：認証情報、キー、接続文字列、あるいは機密情報が含まれるログなど、PingCAPサポートに共有したことのあるものはすべて更新・再発行を行ってください。
- 標的型フィッシング攻撃への警戒：パスワード、認証コード、または支払い情報の変更を求める連絡を受けた場合は、すでに信頼関係が確立されている正規の連絡ルートを通じて、必ずその真偽をご確認ください。
当社は現在、お客様ごとの具体的な影響を特定中であり、影響を受けるお客様には直接ご連絡を差し上げます。個別のご連絡をお待ちいただくことなく、上記の予防的措置を直ちに実施いただきますようお願いいたします。
今後の是正・変革
お客様の情報を保持する社内システムは、本番環境と同等のセキュリティ基準を満たさなければなりません。あらゆる認証情報に明確な所有者を定め、業務に真に必要な最小限のアクセス権のみを付与することを徹底します。また、異常なアクセスや大規模なデータ移動は確実に検知し、即座に対処できる体制を確立します。これまでに完了した封じ込めおよびセキュリティ強化の取り組みはNebuSecのレポートに記載されていますが、この対策作業は今後も継続してまいります。
ご不明な点がございましたら、当社セキュリティチーム（security-jp@pingcap.com）までお問い合わせください。なお、メール内にパスワード、トークン、キーなどの機密情報を記載されないようお願いいたします。本インシデントに関する詳細な技術情報につきましては、引き続き公開中のインシデントレポートをご参照ください。
Max Liu
PingCAP 共同創業者 兼 CEO