PingCAPの社内システムに不正アクセス 国内で最大約5万件の個人情報が漏えい

PingCAP株式会社は、第三者が不正に取得した認証情報で社内システムにアクセスし、データを複製したと公表しました。日本国内で最大約5万件の個人情報が漏えいしたとしています。公表ページは10月21日に追記され、問い合わせ情報も対象に含まれると更新されました。

何が起きたか

同社によると、第三者が不正に取得したアカウントの認証情報を使って社内システムにアクセスし、データを複製しました。同社は10月7日に本件を認識し、同日中に影響を受けた認証情報の無効化を始めました。特定された侵入経路は遮断済みです。

漏えいした情報

APIキーのPrivate Keyは流出しておらず、Public Keyだけでは操作できないとしています。影響を受けたデータは顧客によって異なり、全員がすべての項目の対象ではありません。

原因と経緯

原因は、不正に取得されたアカウントの認証情報の利用です。認証情報が取得された経緯は、公表ページに記載がありません。

外部の調査機関と共同で調査を続けており、新たな事実が分かり次第更新するとしています。

利用者がやること

TiDB Cloudを使っている組織は、次の対応を確認してください。

1. アクセスログを確認する

   TiDB Cloudと関連するクラウドアカウントのアクセスログで、不審なIPアドレスや身に覚えのない操作がないか調べます。

2. メンバーと権限を見直す

   組織のメンバーとロールを見直し、不要なアカウントを削除します。

3. APIキーをローテーションする

   APIキーを発行している場合、同社はローテーションを求めています。

4. なりすましメールに注意する

   同社を装ったメールには返信せず、リンクも開かないでください。同社がメールでパスワードやアクセスキーを尋ねることはないとしています。

SQLエディタの実行履歴や問い合わせに機密情報を書いていた場合は、その内容も確認すると安全です。これは一般的な対策です。

出典

• PingCAP株式会社のセキュリティ情報（2026年10月21日追記）
• PingCAP, Inc. のインシデント報告（2026年10月19日公開）