TiDBのPingCAP、日本国内で最大約5万件の個人情報が不正アクセスで漏洩したと発表

　分散データベース「TiDB」を提供するPingCAPは10月21日、第三者による不正アクセスで、日本国内の最大約5万件の個人情報が漏洩したと発表した。同社は日本語サイトの報告ページで、経緯と対応を説明している。

　同社によると、2026年9月9日から10月7日（米国時間、以下同じ）にかけて、第三者が不正に取得したアカウントの認証情報を使い、社内システムにアクセスしてデータの複製を取得した。PingCAPは10月7日にインシデントを認識し、同日中に影響を受けた認証情報の無効化を始めた。不正取得が確認された認証情報はすべて無効化し、特定した不正アクセスの経路も遮断したという。

　同社と外部調査機関の調査では、TiDB Cloudへの不正アクセスとクレジットカード情報の流出は確認されていない。

　影響が確認されたデータは3種類で、顧客によって異なるという。TiDB Cloudのアカウント情報では、ユーザー名、メールアドレス、組織やプロジェクトとの関連付け、SQLエディタの実行履歴とエラー情報が対象となった。10月21日13時5分には、問い合わせ情報（サポートチケット情報）を追記している。取引関連情報では、顧客の連絡先（氏名、メールアドレス、企業名、電話番号）と契約条件（注文内容、支払い条件、請求設定）が含まれる。認証情報では、TiDB Cloud APIキーのPublic Key部分が対象で、暗号化されている。Private Key部分は流出しておらず、Public Keyだけでは操作できないという。

　対応として、外部のセキュリティ専門会社と影響範囲や侵入経路を調べ、流出が確認されたキーなどのローテーション、アカウント権限の厳格化、ネットワーク管理の見直しを実施した。新たな脅威検知の仕組みも導入し、法執行機関への届け出と各国の監督当局への報告も済ませた。調査は続けており、新たな事実が判明すれば更新するとしている。

　顧客には、アクセスログの確認、組織メンバーと権限の見直し、APIキーのローテーションを求めた。同社はメールでパスワードなどを尋ねることはないとして、不審なメールが届いた場合は返信せず、インシデント対応窓口に連絡するよう呼びかけている。