Ключи, которые клиенты передавали в техподдержку PingCAP, помогли злоумышленнику добраться до диагностических данных в облачном хранилище AWS. Это следует из расследования NebuSec, на которое глава разработчика базы данных TiDB Макс Лю сослался в обращении 23 октября. Следов доступа к рабочим базам клиентов исследователи не нашли, но сведения о клиентах уже были скопированы из внутренних систем провайдера.

По отчёту приглашённой PingCAP компании NebuSec, первым звеном стал взломанный аккаунт GitHub. Из закрытых репозиториев и файлов конфигурации инфраструктуры атакующий получил ключи и токены для Google Cloud, системы обращений Jira и внутреннего мессенджера. В обращениях поддержки нашлись дополнительные ключи AWS: ими воспользовались для доступа к нескольким хранилищам S3 с диагностическими данными TiDB. Выводы основаны на сопоставлении облачных журналов, перечня файлов инцидента и проверенных образцов данных.

Атака продолжалась с 9 сентября по 7 октября. Среди скопированного — история SQL-запросов из редактора, сведения об аккаунтах и настройках подключений, договоры, платёжные условия, обращения поддержки и исходный код. Ключи управления TiDB Cloud из выгруженной таблицы были зашифрованы; по NebuSec, ключ шифрования не раскрыт. Эта защита не распространялась на секреты, оставленные в материалах поддержки. Число пострадавших клиентов и состав утечки для каждого из них ещё уточняются.

PingCAP обнаружила инцидент 7 октября и начала отзывать доступы в тот же день. К 14 октября все выявленные скомпрометированные учётные данные были аннулированы. После проверки похищенного исходного кода NebuSec также нашла четыре уязвимости: компания их исправила, расследователи перепроверили результат и не нашли в журналах признаков прежней эксплуатации. Это отдельная проверка возможных путей дальнейшей атаки, а не установленная причина первоначального взлома.

Макс Лю признал ответственность за недостаточную защиту доверенной компании информации и призвал заменить секреты, переданные поддержке, не дожидаясь индивидуального уведомления. В этом инциденте рабочие базы и сохранённые рядом служебные материалы оказались разными контурами риска: отсутствие подтверждённого входа в первые не уберегло вторые от кражи.