PingCAP最大約5万件の情報漏えい社内システムとTiDB Cloudを分けて読む

資料で確認できること

アカウント・利用記録、取引情報、APIキーの一部が対象

日本語版は、TiDB Cloudのユーザー名、メールアドレス、組織・プロジェクトとの関連付け、SQLエディタの実行履歴とエラー情報、サポートチケット情報、顧客の連絡先、契約条件などを、影響が確認されたデータの種類として挙げています。

APIキーについてはPublic Key部分が対象で、Private Key部分は流出しておらず、Public KeyだけではTiDB Cloudを操作できないと説明しています。ただし会社は、APIキーを発行している顧客にローテーションを求めています。すべての顧客にすべての項目が該当するわけではありません。

• 資料 01PingCAP株式会社：不正アクセスによる情報漏洩に関するお詫びとご報告

当事者の説明

9月9日から10月7日にアクセス、10月7日に認識

PingCAPの説明では、第三者は9月9日から10月7日（米国時間）にかけて、不正取得したアカウントの認証情報を使い、同社の社内システムへアクセスしてデータを複製しました。同社は10月7日に事案を認識し、同日中に影響を受けた認証情報の無効化を始めました。

英語版の発表日は10月19日です。日本語版は10月21日に公開・案内され、同日13時05分の追記として、影響が確認された情報に問い合わせ情報（サポートチケット情報）が加えられています。出来事の期間、認識日、発表日、追記時刻を分けて確認します。

• 資料 01PingCAP株式会社：不正アクセスによる情報漏洩に関するお詫びとご報告
• 資料 02PingCAP：Security Incident Report: Unauthorized Access to PingCAP

当事者の説明

TiDB Cloudへの侵入とカード情報の流出は確認されていない

PingCAPと外部調査機関は、TiDB Cloudへの不正アクセス、クレジットカード情報の流出を確認していないと説明しています。英語版では、調査した本番システムで攻撃者がコマンドを実行したり、持続的なアクセスを維持したりした証拠は確認されていないとしています。

これは公開時点の調査結果です。社内システムから複製されたデータの漏えいを否定する説明ではなく、将来の調査で新たな事項が判明しないことを保証するものでもありません。

• 資料 01PingCAP株式会社：不正アクセスによる情報漏洩に関するお詫びとご報告
• 資料 02PingCAP：Security Incident Report: Unauthorized Access to PingCAP

当事者の説明

認証情報の無効化、権限・ネットワーク管理の見直しを実施

会社は、流出が確認されたキーと重要なキーのローテーション、アカウント権限の厳格化、ネットワーク管理の見直し、新たな脅威検知の導入、法執行機関と監督当局への報告を挙げています。特定した不正アクセス経路は遮断したと説明しています。

利用企業には、TiDB Cloudと関連クラウドのアクセスログ、組織メンバーと権限、不審なメールを確認し、APIキーを発行している場合はローテーションするよう求めています。

• 資料 01PingCAP株式会社：不正アクセスによる情報漏洩に関するお詫びとご報告

未確認の点

顧客ごとの対象範囲、侵入経路の詳細、悪用の有無は未確認

10月23日の確認時点で、個々の顧客に該当する情報項目、国内最大約5万件の内訳、認証情報が不正取得された経路の詳細、複製された情報の第三者共有や二次利用の有無、顧客ごとの通知完了状況は公開ページだけでは確定できません。

JBJはPingCAP、利用企業、外部調査機関、関係当局、攻撃者へ直接取材しておらず、ログや複製データ、フォレンジック報告書を独立に確認していません。

• 資料 01PingCAP株式会社：不正アクセスによる情報漏洩に関するお詫びとご報告
• 資料 02PingCAP：Security Incident Report: Unauthorized Access to PingCAP

確認の範囲

このコラムの確認範囲

本稿は2026年10月23日に取得したPingCAPの日本語版と英語版の公式発表を照合しました。英語版は10月19日公開、日本語版は10月21日に公開・案内され、同日13時05分の追記を含みます。掲載画像は情報経路と確認資料を照合する姿勢を表す説明用イメージで、PingCAP、利用企業、調査機関の実際の職員・設備・画面・資料・被害記録ではありません。

• 資料 01PingCAP株式会社：不正アクセスによる情報漏洩に関するお詫びとご報告
• 資料 02PingCAP：Security Incident Report: Unauthorized Access to PingCAP

JBJの見解

漏えいの重大さと、サービス全体への一括した断定を分ける

社内システムから顧客に関する記録が複製され、日本国内で最大約5万件の個人情報が漏えいしたとの説明は重大です。対象者への個別通知、顧客ごとの対象範囲、再発防止策の有効性は継続して検証される必要があります。

同時に、公式発表はTiDB Cloudそのものへの不正アクセスやクレジットカード情報の流出を確認していないとしています。確認済みの漏えいを小さく扱わず、資料が否定している範囲まで被害を広げないことが必要です。

JBJの見解

個別通知、権限、ログ、キー対応を一つずつ記録する

利用企業は、PingCAPから届いた通知、利用中の組織・プロジェクト、管理者とメンバーの権限、APIキーの発行状況とローテーション日時、確認したアクセスログと不審な動きを整理してください。キーそのものを公開投稿や相談文に記載しないでください。

従業員や顧客へ説明するときは、自社に該当すると確認された項目と、PingCAP全体の最大件数を分けます。不審なメールはリンクを開かず、送信元の表示だけで判断せず、公式窓口へ別経路で確認します。

• 資料 01PingCAP株式会社：不正アクセスによる情報漏洩に関するお詫びとご報告

JBJの見解

会社の説明責任を問い、利用企業や担当者への攻撃を避ける

認証情報を使った社内システムへのアクセスとデータ複製が確認された以上、PingCAPには、顧客ごとの影響通知、侵入経路と管理上の課題、対策の有効性、調査の更新を説明する責任があります。利用企業が具体的な報告を求めることは正当です。

一方、TiDB Cloudを利用していることだけを理由に、企業や担当者へ攻撃の責任を広げる根拠はありません。JBJは運営会社を無条件に擁護せず、確認された問題と、資料にない断定や無関係な人への攻撃を分けます。