PingCAP（ピンキャップ）の社内システムへの不正アクセスで、日本国内の個人情報が最大約5万件漏えいしたと発表されています。同社はTiDB Cloud（タイディービー・クラウド）のAPIキーの更新と、アクセスログ・権限の確認を利用者へ求めています。
社内システムへの侵入
「公開部分だけなら何もしなくてよい」とは限りません。同社はAPIキーの更新を利用者に依頼しています。
PingCAP（ピンキャップ）は、不正取得された認証情報を使って、第三者が社内システムへ入り、データの複製を取得したと公表しています。対象期間は米国時間の9月9日から10月7日です。同社が事案を認識した10月7日に、影響する認証情報の無効化を始めました。
会社の社内システムと、顧客が利用するデータベースサービスは区別されています。同社と外部調査機関がTiDB Cloud（タイディービー・クラウド）を調べた結果では、同サービス自体への不正アクセスや、クレジットカード情報の流出は確認されていないと説明しています。
画像の出典
写真：Pexels。特定企業の設備や被害状況を撮影したものではありません。| 情報の種類 | 公表された対象 |
|---|---|
| アカウント関連 | ユーザー名・メール・組織やプロジェクトの関連付け等 |
| 問い合わせ | サポートチケット情報（10月21日追記） |
| 取引関連 | 連絡先・契約条件等 |
| APIキー | Public Key（パブリックキー・公開部分）。Private Key（プライベートキー・秘密部分）は流出していない |
全員が同じ項目ではない
公式発表は、影響を受けた情報の種類は顧客によって異なるとしています。表にあるすべての項目が、すべての顧客について流出したという説明ではありません。問い合わせ履歴が対象かどうかなどは、自社の利用状況と個別の案内を照らし合わせます。
アカウント情報にはSQL（エスキューエル）エディターの実行履歴とエラー情報も含まれ、組織やプロジェクト、クラスターのIDが挙げられています。メールアドレスだけの流出だと受け取らず、管理者は対象項目を確認してください。
APIキーを更新する
API（エーピーアイ）キーのローテーションは、認証に使うキーを新しいものへ入れ替える対応です。公開部分のみでは操作できないという説明と、利用者が更新するという依頼は矛盾しません。自社のアプリや連携先がどのキーを使っているかを整理したうえで、公式の手順に沿って更新します。
いきなり使っているキーを削除すると、そのキーで動く処理が止まる場合があります。運用担当者は、使っているシステム、保管場所、変更の担当者を確認し、新しいキーへの切り替えと不要になったキーの無効化を順に管理してください。ここでは個別の環境へ接続したり、キーの内容を確認したりしていません。
キーそのものをメールへ貼り付けて問い合わせることは避けます。同社はメールでパスワードやアクセスキーを尋ねないと案内しています。サポートを名乗る連絡でも、認証情報の送信を求められたら、その指示を実行する前に公式窓口へ確かめます。
ログと権限も確認
公式発表が求める確認は、キーの更新だけではありません。関連するクラウドアカウントを含めて、不審な接続元や身に覚えのない操作がないかログを調べ、組織メンバーや権限も見直すよう案内しています。担当を離れた人のアカウントや、用途が分からない権限が残っていないかを確認する場面です。
同社は、判明した不正アクセス経路を遮断し、確認された不正取得の認証情報を無効化したと説明しています。ただし調査は継続中です。利用企業側で不審な操作を見つけた場合は、日時や操作の種類を保全し、自社の対応担当と公式窓口へ共有してください。
本稿は10月30日に確認した公式ページに基づき、利用者が行う確認を整理しています。発表にない侵入方法の推測や、個別企業のデータベースが侵害されたという断定はしていません。
結局どうすればよいか
- APIキーの更新を運用担当者と進める
- アクセスログとメンバーの権限を確認する
公式出典
更新履歴
- 2026年10月30日 初版公開
※本記事は2026年10月30日時点で公表されている情報にもとづきます。数値・制度・進路などは今後変わる可能性があるため、最新の内容は各公式発表をご確認ください。
Googleで「おかあさんのおうち」の新着を優先表示する
災害・道路・住まいの新しい記事がGoogleのトップニュースに出やすくなります。ボタン1回で登録できます。
コメント