Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
FulcrumSec이 PingCAP TiDB Cloud에서 총 10.6TB에 달하는 방대한 데이터를 탈취했다고 주장하며 보안 문제를 제기했습니다. 이 데이터에는 고객의 운영 자격 증명, 재무 기록, 소스 코드, 수천 테넌트의 SQL 및 접속 로그 등이 포함되어 있습니다. 이는 공유 멀티테넌트 플랫폼의 보안 취약점과 운영 가시성 문제에 대한 심각한 경고입니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GeekNews의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기침해를 자처한 FulcrumSec 이 TiDB Cloud의 제어 영역, 고객 데이터, 재무 기록, 소스 코드 등 10.6TB를 탈취했다며 1차 공개를 발표함
저장소에 커밋된 클라우드 자격 증명으로 복제 파이프라인을 구성해, 22일 동안 6시간마다 88차례 운영 제어 영역을 반출했으며 탐지되지 않았다고 주장함
탈취 목록에는 18만여 테넌트 조직의 정보와 평문 API 키 115,308쌍 , 고객 SQL 2,064만여 건, 4년간의 접속 기록이 포함됨
Jira 지원 티켓 에 고객의 운영 자격 증명과 로그가 들어 있었으며, 일부 AWS 관리자 키와 GitHub 토큰 등이 반출 당시에도 유효했다고 주장함
고객별 매출과 클라우드 원가를 연결할 수 있는 재무 데이터 , 분석용 가명 식별자를 이메일과 고용주에 연결하는 신원 매핑 데이터 까지 공개 대상에 포함됨
침해 주장과 반복 반출 경로
FulcrumSec 은 관리형 데이터베이스 서비스 TiDB Cloud에서 총 10.6TB, 4,901,203개 파일을 탈취했다고 주장함
범위는 운영 제어 영역, 청구와 재무 시스템, 약 50개 GCP 스토리지 버킷, AWS 비용과 청구 자료, Jira, CRM, 분석 데이터, 소스 코드에 걸침
은행, 게임사, 전자상거래 기업이 사용하는 공유 멀티테넌트 플랫폼의 보안과 운영 가시성을 문제 삼음
최초 약 8TB를 반출한 뒤 거의 두 달 동안 추가 데이터를 확보했다고 함
저장소에 커밋된 GCP 서비스 계정 키와 Azure 서비스 주체 자격 증명으로 제어 영역 데이터베이스의 복제 피드를 구성함
PingCAP 인프라가 테넌트, 사용자, API 키, 클러스터 자격 증명, 변경 피드, 마이그레이션 테이블을 외부로 전송하도록 했다고 주장함
침해 기간 말미인 2026년 9월 8~30일 에는 6시간 간격으로 88회 내보내기를 수행했으며, 탐지는 한 번도 없었다고 함
마지막 실행은 9월 30일 06:02 UTC였으며, 해당 제어 영역 데이터가 1차 공개분에 포함됨
아래의 탈취 범위, 키의 유효성, 내부 보안 결함은 모두 FulcrumSec이 공개한 주장 에 해당함
제어 영역, 고객 SQL, 접속 기록
metadb 전체 복제본 에는 고객과 클러스터 운영 정보가 포함됐다고 함
테넌트 조직 180,046개, 사용자 레코드 292,276개, 실명 166,108개, 고유 이메일 403,262개가 들어 있음
프로젝트 388,861개, 서버리스 클러스터 3,448,054개, 전용 클러스터 16,299개를 포함함
평문 콘솔 API 키 쌍 115,308개 중 42,612개가 활성 상태였으며, 가장 최근 키는 반출 종료 당일인 9월 30일 04:46에 생성됨
고객 마이그레이션 작업의 외부 데이터베이스 엔드포인트 1,809개에 고객 MySQL/Aurora 호스트의 root와 관리자 계정 정보가 포함됨
VPC 피어링 기록에는 고객 AWS 계정 ID 290개와 GCP 프로젝트 ID 85개가 들어 있음
SQL Editor와 Chat2Query 가 수집한 원시 SQL 20,645,574건에는 수천 테넌트의 스키마, 테이블 설계, 비즈니스 로직이 포함됐다고 함
각 SQL은 조직, 프로젝트, 클러스터 ID에 연결됨
의료인 테이블을 생성하는 구문과 브라질 병원의 환자 명단을 삽입하는 구문을 사례로 들며, 스키마뿐 아니라 고객 데이터베이스의 내용도 포함됐다고 주장함
Data Gateway 접속 로그 로 고객 애플리케이션 서버와 사용 소프트웨어를 식별할 수 있다고 함
4년간의 일별 파일 23,651개, 원시 데이터 41GB에 접속 102,003,766건이 포함됨
고객 클러스터 846,527개, SQL 사용자명 1,443,915개, 고유 클라이언트 IP 5,036,738개를 기록함
Rails의 접속 약 46만 건을 비롯해 ProxySQL, MySQL Workbench, langgenius/dify 등의 클라이언트 정보가 있음
FulcrumSec은 이 로그를 후속 침입의 표적 선정에 사용할 수 있다고 주장함
고객 실명과 테넌트 식별자 연결
운영 감사 기록과 eda_service
저장소의 42개 조직 표, 94개 항목의 청구 사전 이 고객 이름을 테넌트 ID에 연결한다고 함
예시에는 Booking.com, Shopee, CAPCOM CO., LTD, Colopl, TOPPAN INC., Catalyst Software, SB Payment Service가 있음
CAPCOM 기록에는 TiDB v6.1.1과 ap-northeast-1
, Colopl 기록에는 TiDB v6.1.0이 포함됨
같은 매핑 자료에 다음 기업의 고객 기록 도 있다고 주장함
Mercari, PayPay, Fujitsu, SoftBank, DMM, AEON, Square Enix, Konami, BANDAI NAMCO, Delhivery, Flipkart, Quincus, Nylas가 포함됨
Airbnb, Pinterest, Databricks, bitget, Pionex, DigiPlus, NFTscan, Baidu, SES-imagotag, Persona, Transsion도 들어 있음
ZOZO, gumi, iret, Classmethod, Wetech, Atlassian, Cygames, SBI, LINE, Chainbase, PatSnap의 기록도 포함됨
고객별 VPC CIDR , 클러스터 버전, 엔드포인트 호스트명도 포함되며, 일부 고객은 지원 티켓에 자격 증명까지 남아 있었다고 함
내부 보안 경고와 소스 코드의 문제
2022년 8월 SECURITY-22 티켓에는 조직의 모든 역할이 조직 내 모든 클러스터의 root 비밀번호를 무조건 재설정할 수 있다는 경고가 있음
대상 역할은 owner, audit admin, billing admin, member임
이러한 사용자가 root로 접속해 클러스터 상태를 변경하고 데이터에 접근할 수 있어 큰 보안 위험이 있다는 경고임
해당 티켓은 FulcrumSec이 주장하는 2026년 9월 침해보다 약 4년 앞서 작성됨
탈취했다는 비공개 저장소 413개 에는 청구 엔진, 계정과 신원 서비스, 운영 포털, 공통 암호화 라이브러리, 내부 IT 플랫폼, SRE 감사 저장소가 포함됨
tidbcloud
, pingcap-inc
, pingcap
, tidb-incubator
, Sibyl-TiDB
등 5개 GitHub 조직의 전체 Git 이력을 확보했다고 함
소스 코드에서 권한 검사와 암호화 설계 문제 를 발견했다고 주장함
청구 엔진은 검증되지 않은 X-ACCOUNT-USER-ID
헤더를 신뢰함
계정 서비스는 관리자 여부를 테넌트 ID로 취급하며, 사용자 가장 기능이 owner 역할로 조직 검사를 우회함
공통 라이브러리 pkgv2
는 키 접두부에서 유도한 고정 IV로 AES-CBC를 사용하고, 서버 전체에서 단일 SaltSecret
을 공유함
이 구조에서는 설정 비밀값 하나만 확보하면 암호화된 고객 다운스트림 데이터베이스 비밀번호를 평문으로 복원할 수 있다고 주장함
지원 티켓에 포함된 고객 자격 증명
Jira 지원 과정 에서 고객 운영 자격 증명이 티켓과 첨부 로그에 복사됐다고 주장함
자격 증명이 포함된 주요 로그 3개와 관련 티켓을 공개 자료에 넣었다고 함
GTOC-5812 의 2023년 2월 1일 댓글에는 Pinterest 관련 로그 버킷에 접근하는 AWS 키가 있었으며, 반출 당시에도 유효했다고 함
APID-11182 의 2025년 5월 2일 첨부 파일에는 TiDB BR 백업 설정에 고객 AWS 키가 들어 있었다고 함
해당 IAM 사용자에는 AdministratorAccess
와 AmazonS3FullAccess
가 부여돼 고객 소유 버킷 258개에 접근할 수 있었다고 주장함
대상에는 대출 문서, 스냅샷, SFTP, CloudHSM 관련 이름의 버킷 등이 포함됐으며, PingCAP 소유가 아닌 고객 소유 버킷이었다고 함
APID-12036 의 314MB 운영 슬로 쿼리 로그에는 UPDATE
구문을 통해 고객의 사용자별 자격 증명 저장소가 노출됐다고 함
여전히 유효한 타사 자격 증명만 집계해 서로 다른 값 8,027개를 확보했다고 주장함
AWS STS 세션 키 세트 7,485개, GitHub 사용자-서버 토큰 345개, AI 플랫폼 API 키 192개가 포함됨
AI 키의 대상은 OpenAI, Anthropic, Gemini, ElevenLabs, xAI, OpenRouter임
AWS 루트 키 쌍 1개와 24개 관리 범위를 가진 GitHub 개인 액세스 토큰 1개도 포함됐다고 함
해당 GitHub 토큰은 비공개 저장소 843개를 포함한 저장소 1,701개에 권한을 가졌다고 주장하며, 관련 고객사에 후속 접촉을 예고함
APID-11887 에는 사용자명과 비밀번호가 내장된 서로 다른 운영 연결 문자열 1,825개가 있었다고 함
TCID-2287 에는 MySQL 연결 문자열과 고객 소유 S3 버킷의 사전 서명 URL 38개가 있었다고 함
같은 지원 엔지니어가 2024년 1월 25일부터 2026년 2월 2일까지 게시한 자료라고 함
고객별 원가, 매출, 영업 정보
AWS 비용 및 사용 보고서(CUR) 의 resource_tags_user_tenant
필드로 고객별 서비스 원가를 연결할 수 있다고 함
57개월의 AWS 지출 총액은 107,195,238.42달러임
EDP 할인은 10,362,705.51달러, 개별 계약 요금 할인은 8,829,018.11달러이며, 정가 대비 약 47% 할인이라고 함
us-east-1
의 가용 영역 간 전송 비용만 16,509,714.87달러임
재무 데이터와 원가 데이터의 결합 으로 실명 고객별, 제품군별 매출총이익을 계산할 수 있다고 주장함
테넌트별 순수수료, monthly_cloud_order
, 매출채권 표, 880만 행의 dbaas_billing
, ARR 기록 로그가 포함됨
Salesforce 계정별 월간 ARR 쓰기 로그에는 2025년 1월 TiDB Enterprise Subscription의 2,931,005달러, 2,100,000달러, 1,137,016.2달러 기록 등이 있음
개별 계약과 재무 수치도 포함됐다고 함
Cygames 계약의 순수수료는 2,400,000달러, 누적 매출은 2,633,694.97달러임
PatSnap (UK) Ltd의 월 순수수료는 136,093.25달러, FY25 회사 클라우드 쿼터는 29,438,510.37달러임
HubSpot 에는 연락처 433,928개, 기업 191,187개, 명목 거래 금액 합계 5억 5,200만 달러가 있다고 함
Wetech 7,470만 달러, PayPay 4,520만 달러, Atlassian 2,580만 달러, SBI 2,020만 달러, AEON 1,070만 달러, TOPPAN 970만 달러가 예시임
결제와 매출 시스템 자료도 확보했다고 함
Stripe 는 실제 운영 모드의 유료 테넌트 8,428개를 포함하며, 테넌트 ID 8,301개가 Stripe 계정에 연결됨
NetSuite 매출 원장에는 실명 고객 584개가 있음
AWS Marketplace 자료에는 구매자 주소 861개와 구독 계약 48,991개가 포함됨
중국 매출 원장에는 매출 인식 행 12,262개, 합계 3억 5,310만 위안이 있으며 Bank of China, 중국 과학기술부, China Life가 고객으로 들어 있음
중국 CRM의 영업 활동 메모에는 China Life가 이미 상업 계약을 체결한 고객이며 대기업 잠재고객 풀로 이전됐다는 기록이 있음
분석 데이터와 실명 신원 그래프
GA4 분석 데이터 에는 이벤트 108,871,828건과 기기 식별자 13,620,173개가 있다고 함
cloud_users
의 290,458개 행이 해시 사용자 ID를 이메일, 고용주 테넌트 ID와 연결함
로그인 신원과 쿠키 활동을 연결하는 행도 2,895,030개 포함됨
콘솔 페이지 URL에는 클러스터, 조직, 프로젝트 ID가 들어 있어 활동을 테넌트 맥락과 연결할 수 있음
Mixpanel 에는 실명이 포함된 전체 프로필 3,552개가 있다고 함
프로필에 도시와 마지막 활동일이 있으며, 주요 국가별 수는 일본 774개, 중국 702개, 인도 499개, 홍콩 416개, 미국 342개임
이메일 도메인으로 Klook, Colopl, Cygames, Booking.com, Mercari, Alibaba, Amazon 등의 고용주를 확인할 수 있다고 함
PingCAP이 구매한 reo.dev 개발자 정보 그래프 에는 개인 이메일 24,932개와 LinkedIn/GitHub 프로필 연결 정보가 있다고 함
대상 기업 개발자를 구매 성향에 따라 순위화하며, 업무 이메일과 LinkedIn 프로필도 포함됨
활동 개발자 수는 Tencent 3,327명, Huawei 2,726명, ByteDance 2,475명, AIG 2,140명임
Mastercard, Flipkart, bKash, Quark, Actian, eSewa의 구매 의향이 높은 실명 대상자 712명도 포함됐다고 함
1차 공개분의 구성
FulcrumSec은 보유한 10.6TB 중 압축 128.3GB, 압축 해제 시 200GB 이상 을 5개 아카이브로 1차 공개하고 추가 공개를 예고함
테넌트별 AWS 원가 자료 는 압축 70.6GiB임
2022~2026년 월별 Parquet 92GB에 고객, 클러스터, 리전, 구성 요소별 원가와 Savings Plans 및 예약 요금이 포함됨
Athena 비용 분석 결과 916,945개에는 전용 및 서버리스 등급의 시간별 비용, NLB, 가용 영역 간 전송 분석이 있음
BigQuery 자료 는 압축 31.5GiB이며, 데이터셋 83개와 총 5억 3,380만 행을 포함한다고 함
2,360만 행의 metadb 미러, SQL Editor, 사용자 신원 매핑, GA4, Salesforce, NetSuite, HubSpot, reo.dev 자료가 포함됨
원시 영업 통화 녹취 텍스트 401,911행도 들어 있음
비공개 소스 저장소 는 압축 17.2GiB, 게이트웨이 로그 는 압축 6.9GiB임
나머지 2.1GiB 묶음 에는 내부 보안 및 HR 추적 자료, 운영 설정과 비밀값 파일, 고객-테넌트 매핑, 고객 자격 증명 로그, 영업 및 결제 자료가 포함됐다고 함
Jira 프로젝트 57개의 이슈 377,446개가 포함됨
2026년 10월 4일자 df_finance
와 nexuscrm
운영 스냅샷, helix
/pingkai
/rd_group
수집 자료, 재무 포털 소스와 Terraform 상태가 포함됨
월별 Salesforce ARR 기록과 테넌트 경보 채팅 내보내기 290개도 들어 있음
댓글과 토론