TiDB Cloud：服务账号被盗，对方在里面待了一个月
PingCAP 确认 TiDB Cloud 遭入侵：一个被盗的服务账号在内网逛了一个月
9月9日至10月7日，入侵者用窃取的服务账号凭据拷走了账号元数据、账单信息、SQL 编辑器里的文本、加密后的 API 密钥值以及源代码。勒索团伙 FulcrumSec 声称拿到了 10.6 TB 数据，PingCAP 尚未证实。
- 披露时间
- 2026年10月19日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- TiDB Cloud 客户的账号、账单和 SQL 编辑器数据；没有证据表明客户数据库被读取
- tidb · mysql
- 在野利用
- 不适用
- 这是一次入侵，不是漏洞；10月14日前已封堵所有访问路径
发生了什么
PingCAP 是分布式数据库 TiDB 背后的公司。它表示，入侵者用窃取的服务账号凭据从 9月9日起在其内部系统里来去自如，直到 10月7日才被发现。
据 PingCAP 说，入侵者拷走了：
- 账号和项目元数据（姓名、邮箱、组织、项目和集群 ID）
- SQL 编辑器里的文本和报错信息
- 账单和业务信息：联系人、合同条款、订单、价格
- 一张存有加密 TiDB Cloud API 密钥值的表。是否有可用的凭据泄露，仍在核查中
- PingCAP 源代码
PingCAP 表示，没有证据表明客户 TiDB 数据库里的数据被访问；在排查过的生产系统上，也没有发现命令执行或持久化的痕迹。
勒索团伙 FulcrumSec 的说法要夸张得多：10.6 TB、490 万个文件，还放出了 200 GB 样本。这些数字都未经证实。早期还有帖子称受影响的组织超过 18 万家，我们在任何可信来源里都没找到这个数字，所以没有采用。
案发时间线
2026年9月9日
未授权访问开始
入侵者用窃取的服务账号凭据登录。
2026年10月7日
入侵被发现，PingCAP 开始禁用失陷账号
到 10月10日，又删除了一批凭据。
2026年10月12–13日
一家外部公司报告了四个漏洞
2026年10月14日
四个漏洞全部修复并复测通过，已知访问路径全部封堵
2026年10月19日
PingCAP 发布安全更新
FulcrumSec 声称拿到 10.6 TB、490 万个文件，潜伏了约两个月，还每六小时同步一次数据。这些说法都未经证实。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- PingCAP 安全更新一手来源确认了时间线、数据类别和已修复的四个漏洞。没有证据表明客户数据库里的数据被访问
- Dark Reading报道了 FulcrumSec 声称的 10.6 TB 数据和 200 GB 样本（未经核实）
- TokenPost加密货币交易所的视角：Bitget 表示自己只存了公开的交易日志