PingCAP与TiDB数据泄露指控及云成本曝光 · 话题榜 · TwKit

@plantegg

pingcap数据泄露还是被暴露出来了(破折号 后是我的点评)： 在 57 个月的统计周期内，PingCAP 的 AWS 总支出高达 $107,195,238.42 美元（约 1.07 亿美元）——就是pingcap购买AWS云服务器等然后部署tidb后卖给第三方客户使用 仅 us-east-1 区域的跨可用区传输费用（cross-AZ transfer）一项就高达 $16,509,714.87 美元。——天杀的AWS 流量费用，不只是跨AZ、跨可用区也是收费的，而且很贵 EDP 折扣（企业折扣计划）：减免了 $10,362,705.51 美元——看起来pingcap 谈了一个很给力的折扣 涉及到的主要大客户，如图 总结： 这令人悲哀地成为了常态:他们会花数百万美元购买花哨的 EDR（终端检测与响应），却任由半千个 S3 存储桶大摇大摆地流失。但这家公司是一家云服务提供商。连对他们各个云服务（AWS、GCP、Atlassian / Jira、Azure）遭受的大规模、毫不掩饰的入侵和数据外泄都似乎毫无察觉，这简直是可怕且极度不负责任的

@realNyarime

TiDB (国内云原生 NewSQL DB 领头羊) 发生大规模用户数据泄露事件，总泄露数据量达 10TiB+ 泄露数据清单： • 10.5 TB+ 总数据量 • 4,901,203 个文件 • 533.8M (5.3亿) 行数据的 BigQuery Repo • 180,046 个客户 • 403,262 个邮箱 • 115,308 个客户 API 密钥（明文） • 5,036,738 个客户服务器 IP 地址 • 377,446 个内部 Jira 工单信息 • 433,927 个 CRM 客户 • 413 个私有 Git Repo 攻击者留下的正文： 今天，我们公开披露对 PingCAP 的入侵事件。我们掌握了完整的 TiDB Cloud 控制平面、其计费和财务系统、GCP 存储资源和 AWS 成本与计费系统，以及其 Jira、CRM、分析系统、源代码，还有一份长达四年的日志，记录了所有客户从其应用服务器 IP 地址发起的每一次产品连接。 PingCAP 销售的 TiDB Cloud 是开源数据库 TiDB 的托管版本。银行、游戏工作室和电商平台将生产工作负载交给 PingCAP；PingCAP 在一个共享的多租户平台上运行这些集群，而其整个业务都建立在“这样做安全可靠”这一主张之上。下文的证据表明，事实并非如此。 首先，他们似乎对自己的云服务毫无监测能力。令人遗憾的是，这在我们攻破的公司中十分常见：他们愿意投入数百万美元购买花哨的 EDR，却任由五百多个 S3 存储桶里的数据大摇大摆地流出。 但这可是一家云服务提供商，他们的各项云服务AWS、GCP、Atlassian / Jira、Azure 遭到大规模、明目张胆的入侵和数据外传，他们却似乎完全无法察觉，这既骇人听闻，也极不负责任。首次外传约 8 TB 数据后，我们又持续外传了近两个月，并定期获取新增数据。 我们甚至利用提交到他们自己代码仓库中的凭据「GCP 服务账号密钥和 Azure 服务主体」 搭建了一条从其控制平面数据库复制数据的通道，让他们自己的基础设施把数据送到我们手里。在这次行动的最后二十二天，即 9 月 8 日至 9 月 30 日，这条数据通道每六小时都会将 TiDB Cloud 运行核心中的每一张表 「租户、用户、API 密钥、集群凭据、变更数据流、迁移记录」重新导出并传送出去。连续导出八十八次，一次都没有被发现。最后一次导出于 9 月 30 日 06:02（UTC）进行。所导出的控制平面数据已包含在第一阶段发布的数据中。 src: https://fulcrumsec.vg/pingcap/

@disksing

很惭愧啊，黑客比我更了解自己的公司，好多大客户我之前都没听说过😂