分散データベース「TiDB」を提供するPingCAPに不正アクセス、最大約5万件の個人情報漏えい|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月21日更新日時: 2026年10月21日

分散データベース「TiDB」を提供するPingCAPは、第三者が不正取得した認証情報を使って同社の社内システムへアクセスし、データを外部に持ち出したと公表しました。日本法人の発表によると、日本国内で最大約5万件の個人情報が漏えいしています。不正アクセスが行われた期間は2026年9月9日から10月7日（米国時間）で、顧客の連絡先や契約情報のほか、TiDB CloudのSQLエディタに関する履歴・エラー情報なども取得されたデータに含まれています。

PingCAPは、外部専門会社とともに調査した結果、TiDB Cloudへの不正アクセスやクレジットカード情報の流出は確認されていないと説明しています。一方、米国本社の報告では、ソースコードの取得や暗号化されたAPIキー関連情報の外部取得も明らかにしています。

PingCAPへの不正アクセス・個人情報漏えいのサマリー

不正アクセス期間は2026年9月9日～10月7日（米国時間）です。
攻撃者は不正取得したサービスアカウントの認証情報を使用し、PingCAPの社内システムへ侵入しました。
日本国内では最大約5万件の個人情報漏えいが判明しています。
持ち出された記録にはTiDB Cloudのアカウント関連情報、SQLエディタのテキスト・エラー情報、顧客の連絡先、契約・請求関連情報などが含まれます。
米国本社は、攻撃者がソースコードも取得したと報告しています。
調査対象のTiDB Cloud本番環境で不正な操作や継続的なアクセスを示す証拠は確認されず、顧客がTiDBに保存したデータへの影響も示されていません。
PingCAPは影響を受けた認証情報を無効化し、特定した侵入経路を遮断。利用者にはAPIキーのローテーション、ログ確認などを呼びかけています。

項目	公式発表の内容
公表元	PingCAP株式会社／PingCAP（米国本社）
不正アクセス期間	2026年9月9日～10月7日（米国時間）
検知日	2026年10月7日
侵入方法	不正取得されたサービスアカウントの認証情報の利用
侵害された環境	PingCAPの社内システム・クラウドリソース
国内への影響	最大約5万件の個人情報漏えい
外部取得が確認された情報	TiDB Cloudアカウント関連情報、SQLエディタのテキスト・エラー情報、顧客連絡先、契約・請求関連情報、暗号化されたAPIキー関連情報、ソースコード
TiDB Cloud本番環境	調査範囲では不正操作・継続的アクセスを示す証拠を確認せず
クレジットカード情報	流出を確認せず
対応状況	認証情報の無効化、侵入経路の遮断、権限見直し、監視強化、脆弱性4件の修正

9月9日から約1カ月にわたり不正アクセス、10月7日に侵害を認識

米国本社の報告によると、攻撃者は窃取されたサービスアカウントの認証情報を使用して、PingCAPの一部社内システムへ不正アクセスし、データとソースコードを取得しました。同社は10月7日に侵害を把握し、影響を受けた認証情報の無効化に着手しています。

10月10日までに、追加で判明した侵害認証情報の削除とクラウドプロジェクト間の過剰な権限の解消を進め、10月14日までに特定された不正アクセス経路を遮断しました。10月19日時点では、顧客ごとの影響範囲や対策前の不正利用の有無について調査を継続しています。

顧客の連絡先や契約情報に加え、SQLエディタの記録も外部取得

PingCAPは、外部に持ち出された記録を調査した結果として、次の情報カテゴリを公表しています。ただし、すべての利用者について下記の全情報が漏えいしたという意味ではなく、影響を受けた顧客とデータの範囲は精査中です。

情報の種類	外部取得が確認された内容
TiDB Cloudアカウント関連情報	ユーザー名、メールアドレス、組織・プロジェクトの関連付け
製品利用に関する情報	SQLエディタのテキスト・実行履歴やエラー情報、組織・プロジェクト・クラスタIDなど
顧客・契約情報	氏名、企業名、メールアドレス、電話番号、契約条件、注文内容、価格、支払条件、請求設定
APIキー関連情報	暗号化されたTiDB Cloud APIキー関連情報（詳細は後述）
開発関連情報	PingCAPのソースコード（米国本社発表）

SQLエディタに入力されたテキストやエラー情報は、業務上のクエリやデータ構造に関する情報を含み得るため、個別の顧客にとっての影響は単なる連絡先情報の漏えいとは異なります。もっとも、各顧客のSQLテキストに実際にどのような機密情報が含まれていたかは、今回の公表だけでは一律に判断できません。

国内「最大約5万件」という数値は日本法人の公表値です。国内で5万人全員の異なる個人情報が漏えいしたと読み替えるのではなく、同社が示した「件数」として扱う必要があります。

APIキー関連情報も対象、利用者にローテーションを要請

日本法人の発表では、TiDB Cloud APIキーの暗号化されたPublic Key部分が漏えい対象で、Private Key部分は対象外と説明しています。Public KeyのみではTiDB Cloudの操作はできないとしています。

一方、米国本社の報告は、外部取得されたテーブルに暗号化されたAPIキー値が含まれていたと説明しています。外部調査会社が検証した1件の値は、そのままAPIキーとして利用できませんでしたが、ほかに使用可能な認証情報が含まれていたかどうかは調査中です。

このため、PingCAPはTiDB CloudでAPIキーを発行している利用者に対し、APIキーをローテーションするよう求めています。実際にAPIキーが悪用されたと発表しているわけではありません。

TiDB Cloudの本番環境への不正アクセスは確認されず

日本法人は、同社と外部調査機関による調査でTiDB Cloudへの不正アクセスとクレジットカード情報の流出は確認されていないとしています。

米国本社は、調査した本番システムで攻撃者がコマンドを実行した証拠や継続的なアクセスを維持していた証拠は見つかっておらず、TiDBに保存されたデータへの影響を示す証拠も確認されていないと説明しています。ただし、社内システムから記録が持ち出された事実まで否定するものではありません。

また、外部調査会社が10月12～13日に報告した4件の脆弱性について、PingCAPは10月14日までに修正を終え、再検証で修正を確認したとしています。これらの脆弱性が今回の侵入に悪用されたと断定した発表ではなく、修正前の悪用可能性を含めて調査を続けています。

利用企業にログ確認と権限の見直しを呼びかけ

PingCAP日本法人は、TiDB Cloud利用者に対し、関連クラウドアカウントのアクセスログを確認し、不審なIPアドレスや身に覚えのない操作がないか点検するよう案内しています。あわせて、組織メンバー・ロールの棚卸し、不要アカウントの削除、APIキーのローテーションを推奨しています。

顧客の連絡先情報が持ち出されていることから、PingCAPを装う連絡や認証情報の入力を求めるメールにも警戒するよう呼びかけています。同社はメールでパスワードやアクセスキーを尋ねることはないと説明しています。

情報システム部門では、利用中のTiDB Cloud環境で管理者・サービスアカウントの一覧、権限、APIキーの発行先、監査ログの保存状況を確認することが対応の起点になります。クラウドやSaaSの管理権限・認証情報を点検する一般的な観点は、セキュリティ対策LabのIPAによるWeb・SaaS・APIなどの緊急点検項目でも整理しています。

PingCAPは関係当局への報告を行ったうえで、外部の調査機関と影響範囲の特定を続けており、個別顧客への影響が判明した段階で通知するとしています。