PingCAP ผู้พัฒนา TiDB ยอมรับถูกเจาะผ่านข้อมูลรับรอง service account ที่ถูกขโมย นาน 4 สัปดาห์ — ข้อมูลลูกค้า TiDB Cloud ข้อมูลสัญญาและบิล คีย์ API ที่เข้ารหัส และซอร์สโค้ดถูกคัดลอก ขณะที่ FulcrumSec อ้างขโมยไป 10.6 TB

สรุปสั้น

บริษัท PingCAP ผู้พัฒนาฐานข้อมูลแบบกระจาย TiDB และบริการ TiDB Cloud เผยแพร่รายงานเหตุความปลอดภัยเมื่อวันที่ 19 ตุลาคม 2569 ว่าผู้ไม่ได้รับอนุญาตใช้ข้อมูลรับรองของ service account ที่ถูกขโมยมาเข้าถึงระบบภายในบางส่วนระหว่างวันที่ 9 กันยายนถึง 7 ตุลาคม 2569 รวมเกือบ 4 สัปดาห์ แล้วคัดลอกข้อมูลและซอร์สโค้ดออกไป ข้อมูลที่ถูกส่งออกมีชื่อผู้ใช้และอีเมลของ TiDB Cloud การเชื่อมโยง organization กับ project ข้อความใน SQL editor ข้อมูลติดต่อลูกค้า เงื่อนไขสัญญา ราคา และการตั้งค่าบิล รวมถึงตารางที่เก็บค่าคีย์ API ของ TiDB Cloud ในรูปที่เข้ารหัสไว้

PingCAP ยืนยันว่า “ไม่พบหลักฐานว่าข้อมูลที่เก็บใน TiDB ได้รับผลกระทบ” และเพิกถอนข้อมูลรับรองที่พบว่าถูกเจาะทั้งหมดแล้ว พร้อมแก้ช่องโหว่ 4 รายการที่บริษัทภายนอกรายงานเข้ามาระหว่างการสอบสวน แต่ยังไม่ระบุจำนวนลูกค้าที่ได้รับผลกระทบ ไม่บอกว่าข้อมูลรับรองถูกขโมยมาอย่างไร และยังไม่ปิดประเด็นว่ามีข้อมูลรับรองอื่นที่ใช้งานได้หลุดไปหรือไม่ ในวันเดียวกันกลุ่มขู่กรรโชก FulcrumSec ขึ้นชื่อ PingCAP บนเว็บไซต์เปิดโปงข้อมูลและอ้างว่าขโมยไปราว 10.6 TB แต่ตัวเลขนี้และการเชื่อมโยงกับเหตุยังไม่มีการยืนยัน PingCAP แนะนำให้เจ้าของ organization เปลี่ยนคีย์ API และให้ผู้ใช้ทุกคนระวังฟิชชิงที่อ้างข้อมูลจริงขององค์กร

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 23 ตุลาคม 2569 ในสรุปข่าวประจำสัปดาห์ว่า PingCAP ระบุว่าผู้ไม่ได้รับอนุญาตใช้ข้อมูลรับรอง service account ที่ถูกขโมยระหว่าง 9 กันยายนถึง 7 ตุลาคมเพื่อเข้าระบบภายในบางส่วน คัดลอกข้อมูล และได้ซอร์สโค้ดไป บริษัทเพิกถอนข้อมูลรับรองที่ระบุได้ทั้งหมด แก้ช่องโหว่ 4 รายการที่บริษัทภายนอกรายงาน และยังอยู่ระหว่างระบุว่าลูกค้ารายใดได้รับผลกระทบ

ลำดับเหตุการณ์ตามรายงานของ PingCAP มีดังนี้

บริษัทภายนอกที่ตรวจระบบโปรดักชันไม่พบหลักฐานว่าผู้โจมตีรันคำสั่งหรือฝังการเข้าถึงถาวรในระบบที่ตรวจ แต่ PingCAP ระบุเองว่าข้อนี้ไม่ได้ลบล้างประเด็นข้อมูลรั่ว บริษัทยังไม่เปิดเผยรายละเอียดช่องโหว่ทั้ง 4 รายการ และกำลังตรวจล็อกโปรดักชันว่าเคยถูกใช้โจมตีก่อนแก้หรือไม่

วิธีการโจมตี

เส้นทางเข้าคือข้อมูลรับรองของ service account ไม่ใช่บัญชีของพนักงาน และไม่ใช่ช่องโหว่ในตัวผลิตภัณฑ์ PingCAP ไม่ได้อธิบายว่าข้อมูลรับรองถูกขโมยมาจากที่ใด แต่การที่ต้องตัด “สิทธิ์ข้าม cloud project ที่เกินจำเป็น” ในวันที่ 10 ตุลาคม บ่งชี้ว่า service account ที่หลุดมีสิทธิ์กว้างพอให้ผู้โจมตีไล่เข้าถึงข้อมูลได้หลายส่วน และการเปิดล็อกการเข้าถึง cloud storage เพิ่มหลังเกิดเหตุก็หมายความว่าก่อนหน้านั้นบางส่วนไม่มีล็อกให้ตรวจย้อน

ข้อมูลที่ PingCAP ยืนยันว่าถูกเข้าถึงหรือส่งออกแบ่งได้เป็น 3 กลุ่ม

• บัญชีและการใช้งาน TiDB Cloud — ชื่อผู้ใช้ อีเมล การเชื่อมโยง organization และ project ข้อความและ error ใน SQL editor และตัวระบุ organization, project และ cluster บางส่วน
• ข้อมูลธุรกิจและบิล — ข้อมูลติดต่อลูกค้า เงื่อนไขสัญญา คำสั่งซื้อ ราคา เงื่อนไขการชำระเงิน และการตั้งค่าบิล
• ข้อมูลรับรอง — ตารางที่ส่งออกมีค่าคีย์ API ของ TiDB Cloud ในรูปที่เข้ารหัส ค่าที่ทีมสอบสวนทดลองกับคีย์ของตัวเองใช้เป็นคีย์ API โดยตรงไม่ได้ และยังไม่พบหลักฐานว่าคีย์ใดถูกถอดรหัสหรือนำไปใช้ แต่ยังสรุปไม่ได้ว่ามีข้อมูลรับรองอื่นที่ใช้งานได้หลุดไปหรือไม่

ข้อความใน SQL editor เป็นจุดที่ควรระวังเป็นพิเศษ เพราะผู้ใช้บางรายอาจวางชื่อตาราง ตัวอย่างข้อมูล หรือแม้แต่รหัสผ่านไว้ในคำสั่ง SQL ระหว่างทดสอบ

ด้านข้ออ้างของผู้โจมตี SOCRadar พบว่า FulcrumSec ขึ้นชื่อ PingCAP / TiDB Cloud บนเว็บไซต์เปิดโปงเมื่อ 19 ตุลาคม และรายงานอื่นที่อ้าง Hackmanac ระบุว่ากลุ่มนี้อ้างขโมยไปราว 10.6 TB ในไฟล์ราว 4.9 ล้านไฟล์ เผยแพร่ไปแล้ว 200 GB และมีข้อมูลผูกกับกว่า 180,000 องค์กร ตัวเลขทั้งหมดนี้มาจากฝั่งผู้โจมตี ยังไม่มีการตรวจสอบอิสระ และ PingCAP ไม่ได้เอ่ยชื่อ FulcrumSec ในรายงาน SOCRadar ยังค้นล็อกมัลแวร์ขโมยข้อมูล (stealer log) ของโดเมน pingcap.com พบ 25 รายการช่วงเมษายนถึงกันยายน 2569 แต่ทั้งหมดเป็นบัญชีบนพอร์ทัลภายนอก เช่น ระบบการศึกษา บัญชีผู้ใช้ และฝ่ายบริการลูกค้า ไม่ใช่ข้อมูลรับรองภายในองค์กร และ SOCRadar ระบุว่าเชื่อมโยงกับเหตุครั้งนี้ไม่ได้

ผลกระทบ

ผลกระทบโดยตรงตกกับลูกค้า TiDB Cloud ทั่วโลก แม้ข้อมูลในฐานข้อมูลของลูกค้าจะไม่ได้รับผลกระทบตามที่ PingCAP ยืนยัน แต่ข้อมูลที่หลุดเป็นชุดที่เหมาะกับการหลอกลวงแบบเจาะจงมาก ทั้งชื่อผู้ติดต่อ สัญญา ราคา และการตั้งค่าบิล ผู้โจมตีปลอมเป็นฝ่ายบิลของ PingCAP แจ้งเปลี่ยนบัญชีรับชำระเงินได้อย่างน่าเชื่อ เพราะรู้ตัวเลขจริงขององค์กรนั้น PingCAP จึงเตือนเรื่องฟิชชิงที่ “มีรายละเอียดถูกต้องเกี่ยวกับองค์กรของคุณ” ไว้โดยตรง

การที่ซอร์สโค้ดหลุดก็เพิ่มความเสี่ยงระยะยาว ผู้โจมตีใช้หาช่องโหว่ในส่วนที่ไม่ได้เปิดเป็นโอเพนซอร์สได้ ขณะที่ตัวเลขฝั่งผู้โจมตี (10.6 TB, 180,000 องค์กร) ถ้าจริงจะหมายถึงขอบเขตที่กว้างกว่าที่ PingCAP เปิดเผย เหตุนี้เป็นอีกกรณีในชุดเหตุที่ผู้ให้บริการแพลตฟอร์มนักพัฒนาถูกเจาะผ่านข้อมูลรับรองของเครื่องจักร (machine identity) ในเดือนเดียวกัน เช่น Railway (2026/10/226 ) และ LiteLLM (2026/10/219 )

คำแนะนำ

• เจ้าของ organization ใน TiDB Cloud ให้สร้างคีย์ API ใหม่ อัปเดตและทดสอบทุกแอปและระบบอัตโนมัติที่ใช้คีย์ แล้วเพิกถอนคีย์เก่า ทำซ้ำในทุก organization ที่เป็นเจ้าของ และเก็บ private key ไว้ทันทีเพราะเรียกดูซ้ำไม่ได้
• ถ้าสงสัยว่าคีย์ใดถูกใช้ผิด ให้เพิกถอนทันทีโดยไม่ต้องรอสร้างคีย์ใหม่ แล้วติดต่อ security@pingcap.com โดยไม่แนบรหัสผ่าน โทเคน หรือ private key ในข้อความ
• ไล่ดูรายการคีย์ API ทั้งหมด ลบคีย์ที่ไม่ใช้แล้ว และตรวจล็อกที่มีหาการใช้งานที่ไม่รู้จัก
• ทบทวนข้อความที่เคยวางใน SQL editor ของ TiDB Cloud ถ้าเคยมีรหัสผ่านหรือข้อมูลลับ ให้เปลี่ยนข้อมูลนั้น
• แจ้งฝ่ายบัญชีและจัดซื้อให้ยืนยันคำขอเปลี่ยนบัญชีรับเงินหรือข้อมูลบิลที่อ้างว่ามาจาก PingCAP ผ่านช่องทางที่เคยใช้อยู่แล้วเท่านั้น
• สำหรับองค์กรทั่วไป ทบทวนสิทธิ์ของ service account บนคลาวด์ให้แคบที่สุด จำกัดสิทธิ์ข้าม project และเปิดล็อกการเข้าถึง storage ไว้ล่วงหน้า

แหล่งอ้างอิง

• In Other News: Tor Exit Relays Hijacked, Banks Spot Rogue AI Agents, Self-Rebuilding macOS Ransomware — SecurityWeek
• Security Update October 2026 — PingCAP
• Customer Actions October 2026 — PingCAP
• PingCAP / TiDB Cloud FulcrumSec Listing — SOCRadar