PingCAP TiDB 유출 주장: 고객 접속 로그와 운영 정보 공개

FulcrumSec은 PingCAP의 TiDB Cloud 운영·재무·분석 시스템과 저장소를 침해해 10.6TB를 확보했다고 주장하며 200GB가 넘는 자료를 공개했습니다. 고객 데이터베이스 접속 정보와 자격 증명, 내부 보안 티켓 등이 포함됐다는 주장으로, 유출 범위와 실제 고객 데이터 영향은 별도 확인이 필요합니다.

주제: 보안 데이터베이스 클라우드

에디터 노트

공격자가 제시한 자료가 사실이라면 고객 데이터베이스의 접속 문자열과 자격 증명까지 노출된 범위가 단순한 내부 메타데이터 유출보다 훨씬 큽니다. 특히 과거 내부 티켓에 기록된 권한 문제와 지원 티켓의 자격 증명 보관은 운영 통제의 구체적인 실패를 가리킵니다. 다만 공개된 페이지는 공격자 측 주장이고, 자료의 진위와 실제 악용 여부는 여기서 독립적으로 확인되지 않습니다. 댓글에서는 유출 자료가 메타데이터 중심인지 실제 고객 데이터까지 포함하는지를 두고 의견이 갈립니다. 접속 문자열과 로그에 고객 정보가 담겼다는 댓글은 공격자 주장을 뒷받침하지만, PingCAP의 공식 입장을 직접 검증하지는 않습니다. 댓글이 인용한 회사 발표는 검토 범위를 한정해 데이터 영향 증거가 없다고 했고, 논쟁은 그 범위가 어디까지였는지에 집중합니다. 따라서 유출 규모 주장과 고객 데이터 영향은 구분해 읽어야 합니다.

AI 요약

FulcrumSec은 PingCAP의 관리형 데이터베이스 서비스 TiDB Cloud를 겨냥한 침해를 주장하며 총 10.6TB를 확보했고, 첫 공개분으로 압축 해제 기준 200GB가 넘는 자료를 배포했다고 밝혔습니다. 공개 자료에는 TiDB Cloud 제어 평면 데이터와 내부 저장소, Jira 티켓, 고객 지원 로그, 비용·재무 정보, 분석 데이터가 포함됐다고 주장합니다. 공격자는 AWS와 GCP, Atlassian/Jira, Azure 등 여러 서비스에서 자료를 가져갔으며, 2026년 9월 8일부터 30일까지 6시간 간격으로 제어 평면 데이터베이스를 88회 복제했다고 설명합니다. 이 과정에 저장소에 커밋된 GCP 서비스 계정 키와 Azure 서비스 주체 자격 증명을 사용했다고 주장합니다.

제어 평면과 고객 정보

공개 자료에는 고객 조직과 테넌트 식별자, 클러스터 버전·엔드포인트, 일부 고객의 VPC 대역이 포함됐다고 합니다. 공격자는 고객 지원 티켓에 데이터베이스 접속 문자열과 클라우드 자격 증명이 기재된 사례도 공개했습니다. 한 지원 로그에는 고객의 질의 기록과 함께 AWS 세션 키, GitHub 토큰, 여러 AI 서비스 API 키 등 수천 건의 자격 증명이 있었다고 주장합니다. 일부 자격 증명은 여전히 유효하다고 공격자는 적었습니다. 본문에는 고객사 이름과 개인 식별 정보도 다수 나옵니다. 민감한 값과 공개된 자료 자체는 재인용하지 않습니다.

과거에 기록된 격리 문제

공격자는 PingCAP 내부 보안 티켓 SECURITY-22를 근거로 2022년 8월부터 조직 내 모든 역할이 클러스터의 root 비밀번호를 재설정할 수 있는 문제가 기록돼 있었다고 주장합니다. 티켓 설명에는 조직의 billing admin과 일반 멤버도 해당 조직 클러스터에 root로 접속해 데이터에 접근할 수 있다는 내용이 담겼다고 합니다. 이 취약점이 2026년 침해에 실제로 이용됐는지는 제시된 본문만으로 확인되지 않습니다.

공개한 자료의 종류

첫 공개분은 다섯 개 아카이브로 구성됐다고 합니다. 고객별 AWS 비용과 리소스 태그를 담은 비용 자료, 83개 데이터셋과 5억 3,380만 행의 BigQuery 분석 자료, 5개 GitHub 조직의 비공개 저장소 413개, TiDB Cloud 접속 로그 4년치, Jira 이슈와 고객 지원 로그·재무 스냅샷 등이 포함됐다고 주장합니다. 접속 로그에는 1억 건이 넘는 연결 기록과 500만 개가 넘는 클라이언트 IP 주소가 들어 있다고 설명합니다. 공격자는 후속 공개도 예고했습니다.

Hacker News 반응

@rvz — 앞서 Google Cloud 장애와 CA 개인 키 유출이 있었는데 이제 이것까지 나왔습니다. TiDB 고객과 데이터가 전부 유출된 것 같습니다. 하루 만에 모든 일이 벌어졌습니다. 이제 끝났습니다.
- @gregwebs — 가능한 모든 메타데이터가 유출된 것으로 읽힙니다. 실제 고객 데이터가 유출된 건지는 모르겠습니다. SQL 로그에는 고객 데이터가 들어 있고 스냅샷이나 가져오기 데이터도 언급됩니다.
- @berenddeboer — 사용자 이름과 비밀번호가 든 고객 데이터베이스 접속 문자열도 유출됐습니다.
@dherls — 사실이라면 PingCAP의 무능이 심각합니다. 공격자가 한 달 동안 복제 파이프라인을 설정한 것으로 보입니다.
- @alfiedotwtf — 한 달 동안 대규모 장애 허용 복제 파이프라인을 구축한 FulcrumSec은 데이터베이스 컨설턴트로 일해도 되겠습니다.
@xKingfisher — NCC의 보안 감사 직후 이런 일이 벌어진 점은 모두에게 당혹스러운 일입니다.
- @hintymad — 소스 코드를 평가해도 운영 보안이 허술하면 시스템은 유출될 수 있습니다.
- @somat — 나쁜 운영 보안은 나쁜 암호화를 막아줄 수 있지만, 좋은 암호화가 나쁜 운영 보안을 구해주지는 못합니다.
@llama052 — PingCAP의 보안 공지가 사건을 축소하는 것 같아 당황스럽습니다. 외부 사고 대응 업체가 검토한 시스템에서 침입 명령이나 지속 접근 증거를 찾지 못했다는 발표는 이 유출 주장과 맞지 않아 보입니다.
- @alright2565 — '검토한 시스템에서'라는 표현이 중요할 것 같습니다.
@aliasxneo — 엔지니어가 Jira 티켓에 고객 운영 자격 증명을 붙여 넣었다니 놀랍습니다. SRE로 10년 일하면서 직접 본 적이 없습니다.
- @adamparsons — 자격 증명뿐 아니라 수정해야 할 결함을 적은 티켓까지 있었다면 Jira가 공격자에게 중요한 발판이 됐을 수 있습니다.
@neya — PingCAP은 TiDB에 저장된 데이터가 영향을 받았다는 증거가 없다고 밝혔습니다. 공격자가 데이터 아카이브를 공개했는데도 그렇게 말하는군요.
- @swyx — 엄밀히 말하면 데이터를 잃은 게 아니라 전 세계에 무료 복제본을 만든 셈입니다.
@nemothekid — Aurora에서 PlanetScale로 옮길 때 PingCAP도 검토했지만 클라우드 요금이 복잡해 선택하지 않았습니다. 개인 정보가 유출 자료에 있는지 궁금합니다.

원문: FulcrumSec / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗