"6시간마다 DB 복제해 빼돌려도 몰라" 핑캡 TiDB 10.6TB 털린 역대급 보안 참사

요약 클라우드 분산 데이터베이스 솔루션인 TiDB Cloud를 서비스하는 핑캡(PingCAP)에서 총 10.6테라바이트(TB), 파일 490만 개가 넘는 초대형 데이터 유출 참사가 발생했습니다. 보안 업체 풀크럼섹(FulcrumSec)은 핑캡의 클라우드 컨트롤 플레인을 비롯해 재무, 인프라, 소스코드, 고객 데이터 전반을 탈취했다며 1차로 200GB 분량의 데이터를 공개했습니다. 공개된 내용에 따르면 공격자들은 약 2개월에 걸쳐 데이터를 유출했으며, 깃허브 저장소에 하드코딩된 GCP 서비스 계정 키와 애저(Azure) 서비스 주체 자격증명을 악용했습니다. 이들은 아예 핑캡 자체 인프라를 활용해 핵심 메타데이터베이스의 복제 파이프라인을 구축했으며, 9월 8일부터 30일까지 6시간마다 총 88회에 걸쳐 전체 제어판 데이터를 외부로 전송했음에도 핑캡 측은 단 한 번도 이를 감지하지 못했습니다. 유출된 데이터에는 18만여 개 테넌트 조직, 40만 개 이상의 이메일 계정, 4만여 개의 활성 상태를 포함한 11만 개가 넘는 평문(Plaintext) 콘솔 API 키가 포함되어 있습니다. 특히 콘솔의 SQL 에디터 및 Chat2Query를 통해 수집된 2,060만 건 이상의 고객 원시 SQL 쿼리가 털려 병원 환자 명단이나 의료진 계정 등 고객사의 실제 민감 데이터베이스 내용과 비즈니스 로직까지 그대로 노출되었습니다. 그 외에도 1억 건이 넘는 게이트웨이 접속 로그와 고객 서버 IP, 413개의 비공개 소스코드 저장소, AWS/GCP 결제 및 원가 분석 데이터, 넷스위트와 허브스팟에 기록된 수억 달러 규모의 계약 및 매출 장부(페이페이, 아틀라시안, 중국은행 등)까지 전부 털렸습니다. 소스코드 분석 결과에서는 정적 IV를 사용하는 취약한 암호화 방식과 검증 없는 인증 헤더 신뢰 등 충격적인 보안 관리 실태가 드러났습니다.