PingCAP: Sicherheitsvorfall
10,6 TB Datenleck legt Kundendaten und API-Keys offen.

Der Datenbankanbieter PingCAP, Hersteller der SQL-Datenbank TiDB und des Dienstes TiDB Cloud, machte am 19. Oktober 2026 einen Sicherheitsvorfall öffentlich. Laut dem Unternehmen nutzte ein Unbefugter zwischen dem 9. September und dem 7. Oktober 2026 gestohlene Dienstkonto-Zugangsdaten, um auf interne Systeme zuzugreifen, Daten zu kopieren und Quellcode zu erbeuten. PingCAP wurde am 7. Oktober 2026 auf den Vorfall aufmerksam und begann am selben Tag, die betroffenen Zugangsdaten zu sperren.

Die Erpressergruppe FulcrumSec listete PingCAP auf ihrer Leak-Seite und reklamiert den Angriff für sich. Nach Angaben der Gruppe dauerte der Zugriff fast zwei Monate an. Sie will mit Zugangsdaten aus PingCAPs eigenen Repositories, darunter GCP-Dienstkonto-Schlüssel und ein Azure Service Principal, einen Replikationsfeed der Control-Plane-Datenbank eingerichtet haben. Dieser habe vom 8. bis 30. September 2026 alle sechs Stunden 88 Exporte geliefert, ohne dass jemand es bemerkte. Insgesamt behauptet FulcrumSec, 10,6 TB exfiltriert zu haben, darunter 180.046 Mandantenorganisationen, 403.262 E-Mail-Adressen, 115.308 Klartext-API-Schlüssel, 20,6 Millionen SQL-Anweisungen von Kunden, Jira- und CRM-Daten sowie 413 Quellcode-Repositories. Als betroffene Kunden nennt die Gruppe zahlreiche Unternehmen, vor allem aus Asien.

PingCAP selbst bestätigt den Abfluss von Nutzernamen, E-Mail-Adressen, Zuordnungen zu Organisationen und Projekten, SQL-Editor-Texten und Fehlermeldungen sowie von Kundenkontakten, Vertragsbedingungen, Bestellungen, Preisen und Abrechnungsdaten. Eine exportierte Tabelle enthielt verschlüsselte API-Keys. Nach bisherigen Erkenntnissen von PingCAP wurden keine Kundendatenbanken kompromittiert.

Ein externer Incident-Response-Dienstleister fand keine Hinweise darauf, dass die Angreifer Befehle ausführten oder dauerhaften Zugriff hielten. Er meldete am 12. und 13. Oktober 2026 vier Schwachstellen, die PingCAP bis zum 14. Oktober 2026 behob. Bis zum 14. Oktober 2026 wurden alle bekannten kompromittierten Zugangsdaten zurückgesetzt und die Zugriffspfade blockiert. Zudem wurde zusätzliche Zugriffsprotokollierung für Cloud-Speicher aktiviert. Der Umfang je Kunde wird noch ermittelt, betroffene Kunden sollen direkt informiert werden.