Napadači tvrde da su iz PingCAP-a izvukli 10,6 TB podataka TiDB Clouda

Napadači koji su javno objavili provalu u tvrtku PingCAP tvrde da su iz sustava TiDB Cloud izvukli ukupno 10,6 TB podataka. PingCAP prodaje TiDB Cloud, upravljanu verziju open-source baze TiDB. Prvi dio, nešto više od 200 GB nekomprimirano, napadači su već objavili i najavljuju nastavak. Navodi nisu neovisno potvrđeni.

Što napadači tvrde da imaju

Prema njihovim navodima, riječ je o 4,9 milijuna datoteka iz oko 50 GCP storage bucketa, BigQuery skladištu s oko 534 milijuna redaka, Jiru s 377.446 tiketa, CRM-u s 433.928 kontakata i 413 privatnih repozitorija izvornog koda. Tvrde i da imaju četverogodišnji zapis svih veza korisnika s proizvodom, uključujući IP adrese njihovih aplikacijskih servera.

U podacima je navodno 180.046 organizacija i 403.262 jedinstvene e-mail adrese. Napadači tvrde i da je među podacima 115.308 API ključeva korisnika u običnom tekstu, od čega 42.612 aktivnih.

Kako je išlo izvlačenje

Napadači tvrde da su podatke izvlačili gotovo dva mjeseca, nakon početnih oko 8 TB. Navode da su pristupne podatke našli u samim PingCAP-ovim repozitorijima: ključeve GCP servisnih računa i Azure service principal. Pomoću njih su navodno postavili replikaciju PingCAP-ove baze control planea. Od 8. do 30. rujna taj je kanal svakih šest sati izvozio tablice s organizacijama, korisnicima, API ključevima i podacima o clusterima. Napadači tvrde da je bilo 88 uzastopnih izvoza i da nijedan nije izazvao alarm.

Podaci korisnika

Prema napadačima, PingCAP-ov interni audit trail povezuje ID-ove tenanta s imenima tvrtki. Među njima navode Mercari, PayPay, Fujitsu, SoftBank, Square Enix, Konami, Flipkart, Airbnb, Pinterest i Databricks. Tvrde i da su inženjeri u Jira tikete lijepili produkcijske pristupne podatke korisnika, među ostalim connection stringove s korisničkim imenima i lozinkama. Kao primjer navode jedan tiket s 1.825 takvih stringova te logove u kojima se nalaze AWS i GitHub vjerodajnice drugih tvrtki.

Navode i financijske podatke. Za Cygames tvrde da imaju ugovor s neto naknadama od 2,4 milijuna dolara, a za PatSnap mjesečne neto naknade od 136.093 dolara.

Napadači citiraju i interni sigurnosni tiket SECURITY-22 iz kolovoza 2022. Prema njihovu opisu, u njemu piše da je član organizacije, čak i s ulogom samo za naplatu, mogao preuzeti sve clustere te organizacije kao root.

U izvoru nema podataka o tome je li PingCAP potvrdio provalu niti o tome jesu li pogođeni korisnici u Europi.