Segurança · 23 de outubro de 2026
PingCAP confirma acesso não autorizado a sistemas internos e vazamento de metadados de clientes
A empresa PingCAP, desenvolvedora do banco de dados distribuído TiDB, confirmou que seus sistemas internos foram acessados sem autorização, resultando na cópia de dados e na obtenção de código fonte. O incidente foi detectado em 7 de outubro de 2026, após um período de acesso iniciado em 9 de setembro de 2026. A companhia declarou que as credenciais comprometidas foram desativadas no mesmo dia da descoberta. Até o momento, a empresa afirma que não há evidências de que os dados armazenados nos bancos de dados de produção dos clientes tenham sido afetados diretamente, embora informações de metadados e configurações de controle tenham sido exportadas.
Um grupo de hackers identificado como FulcrumSec reivindicou a autoria do ataque, alegando ter roubado aproximadamente 10,6 terabytes de dados. Segundo as afirmações não verificadas do grupo, o volume inclui cerca de 180.000 registros de organizações de inquilinos, mais de 115.000 chaves de API de clientes e dezenas de milhões de instruções SQL. Os atacantes também afirmam ter obtido acesso a repositórios de código privados e sistemas de suporte ao cliente. A PingCAP reconheceu o vazamento de informações de usuários, incluindo nomes, endereços de e-mail, associações de organização e projeto, além de textos de editores SQL e mensagens de erro. Dados comerciais, como termos de contrato, pedidos, preços e configurações de faturamento, também foram listados como afetados.
Há divergências significativas sobre a natureza das credenciais vazadas. O grupo FulcrumSec alega que obteve mais de 115.000 chaves de API em texto puro, das quais mais de 42.000 estariam ainda ativas. Em contrapartida, a PingCAP afirma que as chaves presentes nas tabelas exportadas estavam criptografadas. Testes realizados por uma agência de segurança externa com uma amostra dessas chaves indicaram que elas não podiam ser usadas diretamente. A empresa admite, porém, que a investigação sobre a existência de outras credenciais utilizáveis ainda está em andamento e que as alegações sobre credenciais em materiais de suporte não foram totalmente verificadas.
O processo de ataque descrito pelos hackers sugere uma exfiltração contínua. Eles afirmam ter usado chaves de conta de serviço do Google Cloud Platform e credenciais da Microsoft Azure, encontradas em repositórios de código, para estabelecer um canal de replicação de dados no plano de controle do TiDB Cloud. Segundo o grupo, esse canal exportou dados a cada seis horas entre 8 e 30 de setembro, totalizando 88 execuções sem disparar alertas de segurança. A PingCAP não confirmou independentemente a veracidade desse cronograma nem a existência de um ticket interno de segurança de 2022, mencionado pelos atacantes, que descrevia uma falha de permissão relacionada à redefinição de senhas de raiz.
Como resposta ao incidente, a PingCAP relatou que, entre 12 e 13 de outubro, uma agência de segurança externa identificou quatro vulnerabilidades. Essas falhas foram corrigidas em 14 de outubro e validadas por testes de terceiros. A empresa também removeu autorizações excessivas em projetos de nuvem, adicionou logs de acesso a armazenamento em nuvem e planeja fortalecer a rotação de credenciais, a varredura de código e chaves, além dos logs de auditoria. A PingCAP continua a identificar os clientes afetados e investigará se houve exploração adicional antes das correções, prometendo notificar diretamente aqueles cujos dados foram comprometidos.