TiDB Cloud 대규모 데이터 유출, 10.6TB 탈취

핵심 요약

• 분산 데이터베이스 TiDB Cloud를 운영하는 PingCAP에서 10.6TB의 민감한 데이터가 유출되었다. 약 200GB 규모의 1단계 자료가 공개되었으며 탈취된 데이터에는 88회에 걸친 연속 추출, 약 50개의 GCP 스토리지 버킷, 180,046개 테넌트 조직, 403,262개의 고유 이메일이 포함되어 있다.
• 4,901,203개의 파일과 115,308개의 평문 고객 API 키(그중 활성 42,612개), 20,645,574개의 고객 SQL 문, 5,036,738개의 고객 서버 IP 주소가 탈취되었다.
• 공격자는 GCP 서비스 계정 키와 Azure 서비스 주체라는 저장소에 커밋된 자격증명을 이용해 제어 평면 데이터베이스 복제 피드를 구성했고, 2025년 9월 8일부터 9월 30일까지 매 6시간마다 88회 연속 추출을 수행했으나 탐지되지 않았다.
• 메르카리, 페이팔, 후지쯔, 소프트뱅크, DMM, 스퀘어 에닉스, 코나미, 반다이남코, 에어비앤비, 핀터레스트, 데이터브릭스, 바이두 등 유명 기업들이 피해를 입었으며 고객들의 VPC CIDR, 클러스터 버전, 엔드포인트 호스트명이 포함되었다.
• PingCAP 보안팀은 2022년 8월에 다중 테넌트 격리의 결함을 이미 보고했는데, 조직의 모든 구성원이 그 조직의 모든 클러스터를 루트로 장악할 수 있다는 취약점이 문서화되었으나 수정되지 않았다.
• PingCAP 엔지니어들은 Jira 티켓에 고객 프로덕션 자격증명을 붙여넣었으며, 고객의 AWS IAM 사용자에 대한 관리자 액세스 권한, 258개 버킷에 대한 S3 전체 액세스 권한이 포함되어 있었다.
• 314MB 규모의 고객 프로덕션 슬로우 쿼리 로그는 7,485개의 AWS STS 세션 키 세트, 345개의 GitHub 토큰, 192개의 OpenAI·Anthropic·Gemini·ElevenLabs·xAI·xOpenRouter API 키, 1개의 AWS 루트 키 쌍, 24개의 관리 범위를 가진 1,701개 저장소용 GitHub 토큰이 포함되었다.
• 1,825개의 프로덕션 연결 문자열이 내장된 사용자명과 암호와 함께 유출되었으며, 동일한 지원 엔지니어가 2024년 1월 25일부터 2026년 2월 2일까지 고객의 S3 버킷으로 38개의 사전 서명된 URL을 게시했다.
• Cygames 계약은 월간 청구액 기준 누적 수익 $2,633,694.97, PatSnap(UK)의 월간 순 수수료 $136,093.25가 포함된 금융 기록으로 확인되며 FY25 회사 클라우드 할당량은 $29,438,510.37이다.
• 분석 데이터에 따르면 상위 국가는 일본 774명, 중국 702명, 인도 499명, 홍콩 416명, 미국 342명이고 고용주는 클룩, 에어비앤비, 메르카리, 알리바바, 아마존 등이 포함되었다.
• 구매 성향으로 순위를 매긴 목표 계정 개발자 그래프에서 텐센트 3,327명, 화웨이 2,726명, 바이트댄스 2,475명의 활동 중인 개발자가 보이며 마스터카드, 플리프카트, 스키시, 액시안에서 712명의 고의도 구매자가 파악되었다.
• PingCAP는 공유 멀티테넌트 플랫폼에서 고객 프로덕션 워크로드를 운영하면서 안전성과 보안을 주장했으나 클라우드 서비스에 대한 가시성이 전무했고 AWS, GCP, Atlassian/Jira, Azure 전반에서 광범위한 타협과 유출을 감지하지 못했다.