요약
해커 집단 풀크럼섹이 핑캡의 TiDB Cloud에서 약 10.6TB의 내부·고객 데이터를 빼냈다고 주장했습니다.
풀크럼섹(FulcrumSec)이 자신들의 유출 사이트에 올린 글입니다. 핑캡의 코드 저장소와 지원 자료에 노출된 클라우드 키로 내부 환경에 들어가 약 두 달 동안 들키지 않았다고 주장합니다. 공격자 쪽 주장이라 상당 부분은 아직 독립적으로 확인되지 않았습니다.
왜 중요한가
- 주장대로라면 고객의 API 키와 접속 정보까지 새어 나가 TiDB Cloud 고객사도 직접 위험해집니다.
- 엔지니어가 고객 자격 증명을 업무 티켓에 붙여 넣는 식의 운영 습관이 침입 경로가 됐다는 주장입니다.
- 핑캡이 보안 감사와 각종 인증을 내세워 온 터라 이런 제도의 실효성도 함께 도마에 올랐습니다.
핵심 내용
- 9월 8일부터 30일까지 6시간마다 제어 영역(클라우드 서비스를 관리하는 중앙 시스템) DB 전체를 빼 갔다고 합니다.
- 이 복제 경로는 핑캡 저장소에 들어 있던 GCP·Azure 서비스 계정 키로 만들었다고 주장합니다.
- 가져갔다는 자료는 고객 조직·사용자 정보, API 키, 고객 SQL 문, 접속 로그, 청구·영업 기록, 소스 코드, Jira 이슈입니다.
- 일부 API 키는 평문(암호화하지 않은 상태)으로 저장됐고, 2022년에 보고된 권한 상승 취약점도 방치됐다고 폭로했습니다.
- 1차로 약 200GB를 공개했고, 피해 고객에게 직접 연락하겠다며 추가 공개를 예고했습니다.
HN 반응
- 공격자가 명령을 실행한 증거가 없다는 핑캡 공식 발표를 두고, 복제 경로를 이용한 유출을 말장난으로 피한 축소 발표라는 비판이 많았습니다.
- 직전에 NCC 그룹의 소스 코드 보안 평가를 홍보했던 점을 들어, 보안 감사와 인증이 돈을 내면 받는 형식에 그친다는 경험담이 잇따랐습니다.
https://www.pingcap.com/trust-hub/security/security-update-october-2026/
이번 사고를 성명에서 이렇게까지 축소하는 게 정말 어이없습니다.
”외부 사고 대응 업체가 PingCAP의 운영 시스템을 검토한 결과, 검토 대상 시스템에서 공격자가 명령을 실행했거나 지속적인 접근 권한을 유지했다는 증거는 발견되지 않았습니다”
사실과 다른 것 같습니다.
증거가 없었던 건 당연하죠. 어차피 로깅 자체가 없었을 테니까요!
고객 인증 정보를 Jira 티켓에 붙여 넣었다면 책임질 일이 한둘이 아닐 테니, 축소하려는 것도 이해가 갑니다.
전문가는 아니지만 제가 투자자라면 살 사람을 찾아서 지분을 팔고 도망치겠어요.
감사하는 쪽도 감사해야 할 때네요!
원격 클라이언트가 데이터베이스 URL에 접속한다고 해 봅시다. 그 연결로 다운로드를 스트리밍하고, 끝나면 연결을 닫습니다.
실행된 명령은 없고요.
지속적인 접근 권한도 없죠.
변호사들은 정말 대단하네요.
추가: dherls의 댓글을 보니 이렇게 빠져나가는 게 맞는 것 같습니다. 스트리밍 복제는 공격자가 실행한 명령이 아니니까요(데이터를 빼돌린 건 그쪽 시스템 자신이거든요!)
"TiDB Cloud는 SOC 1 Type 2, SOC 2 Type 2, SOC 3, ISO 27001, ISO 27701, PCI DSS, GDPR, HIPAA의 표준과 요건을 충족합니다." 그 배지들 따겠다고 컴플라이언스 회의를 그렇게 해댔는데, 결과가 이 꼴이네요.
이게 사실이라면 PingCap의 무능함이 차원이 다른 수준입니다. 공격자가 한 달 동안 복제 파이프라인을 돌렸다니요?!
정상적인 세상이라면 이 일로 이 회사는 끝장났을 겁니다. 고객은 전부 떠나고, 소송에 파묻혀서 파산했겠죠. 정상적인 세상이길 바라지만, 이런 일을 겪고도 이 회사가 계속 굴러간다 해도 놀랍지 않을 것 같습니다.
좋게 보자면, FulcrumSec은 한 달 동안 안 죽고 버티는 대규모 장애 허용 복제 피드를 구축했으니 부업으로 데이터베이스 컨설턴트를 뛰어도 되겠네요.
NCC의 보안 감사[1]가 나온 지 얼마 안 돼서 터졌다는 점에서, 관련된 모든 쪽이 꽤 민망하게 됐습니다.
[1] https://www.pingcap.com/press-release/tidb-ncc-group-security-assessment/
NCC를 포함해 "엔터프라이즈급" 침투 테스트 업체 여러 곳과 일해 본 개인적인 경험으로는, 침투 테스트 업계 전체가 한바탕 크게 뒤집힐 때가 됐다고 생각합니다.
글쎄요, LLM으로 자동화되기 쉬운 다른 직업들과 함께 쓰레기 압축기행이 될 겁니다. 그런데 한편으로는 LLM 때문에 AI 침투 테스트 계약을 앞다퉈 사들이는 패닉 바잉이 벌어지고 있어요. 먼지가 가라앉기까지 한동안 요란할 겁니다.
네, 내년이 요란하지 않을 거라고는 상상이 안 됩니다.
믿을 만한 침투 테스트나 보안 검토는 어디서 받아야 하나요? 특히 수백만 달러 규모까지는 못 가는 작은 회사들은 어디로 가나요?
https://includesecurity.com/ 을 추천합니다. 가격도 꽤 합리적이고 눈에 띄는 문제는 대체로 잡아 줄 겁니다. 다만 기본 가격대로는 미묘한 문제까지 잡아내지는 못할 거예요.
맞아요, 공개 URL에 자동화 스크립트를 돌려서 https가 켜져 있는지 확인하고 공개된 s3 버킷이 있는지 훑어보는 건 보안 린터보다 나을 게 거의 없어요.
이보다 나은 팀도 있긴 한데, 드뭅니다.
보도자료에는 "NCC Group의 엄격한 소스 코드 보안 평가"라고 되어 있습니다. URL 스캔 정도보다는 훨씬 많은 걸 했다는 얘기죠. 누군가 거짓말을 하고 있는 건 확실합니다.
소스 코드는 아무리 철저하게 평가해도, 운영을 안전하게 하지 않으면 시스템은 여전히 샐 수 있다는 얘기네요.
웹 초창기에 나온 말 중에 계속 마음에 남아 있는 게 있는데, 지금도 유효합니다.
"좋은 opsec은 나쁜 암호화에서 당신을 구해 준다. 하지만 그 반대는 성립하지 않는다. 좋은 암호화가 나쁜 opsec에서 당신을 구해 주지는 못한다."
NCC에 대해 특별한 의견은 없지만, 그런 건 상당수가 돈 내야 통과시켜 주는 식입니다.
사람들이 이게 얼마나 심각한지 제대로 알지 못한다고 생각합니다.
15년 전에 상장을 앞둔 회사의 PCI/SOX 컴플라이언스 평가를 도운 적이 있습니다.
거기에는 PWC에서 나온, 컴퓨터 경험이라곤 없는 갓 졸업한 애들이 있었는데, 관리자 옆자리에 앉아서 "Active Directory 비밀번호 정책 보여 주세요" 하는 식이었습니다. 네, 괜찮네요. 통과.
이건 왜 설정 안 하셨죠? 그러면 어이없는 헛소리 같은 이유가 돌아옵니다. 네, 그건 예외로 하죠. 통과.
얼마나 엉망이었는지는 끝도 없이 얘기할 수 있습니다.
그런데도 그 회사는 잠재 투자자들에게 자랑했습니다. 우리는 PCI/SOX를 준수합니다, 하고요.
빅4가 단연코 최악입니다.
저는 "시스템"에 비밀번호 재설정 정책도 포함된다고 생각했을 겁니다.
이 문제는 지금도 주기적으로 나옵니다.
세상에, 그런 일이 있다는 얘기는 들어 봤지만 SRE로 10년을 일하면서 직접 본 적은 한 번도 없습니다. 정말 말도 안 되네요.
자격 증명뿐 아니라 고쳐야 할 결함을 적어 놓은 티켓까지 있었으니, 그 Jira 인스턴스가 말 그대로 왕국의 열쇠였던 것 같네요. 마음껏 권한을 상승시킬 수 있는 황금 README.MD였던 셈이죠.
토렌트 시더가 8명 정도밖에 없어요. 다들 좀 도와주세요.
AWS 프라이빗 요율 덕분에 PingCAP는 정가에서 약 47%를 할인받습니다. 어떤 서비스에서 할인 폭이 제일 컸을지 궁금하네요. 데이터베이스 회사답게 AZ 간 트래픽이 청구서의 15%를 차지하는 건 놀랍지도 않습니다.
그럴 만합니다. 많이 쓸수록 더 깊게 할인해 주거든요.
s3는 수십~수백 PB를 저장한다고 치면 꽤 좋은 조건을 받을 수 있어요.