Invasão à TiDB expõe falhas nas premissas de segurança na nuvem

A PingCAP, fabricante do banco de dados SQL TiDB, informou que um invasor usou credenciais roubadas de contas de serviço para entrar em sistemas internos entre 9 de setembro e 7 de outubro de 2026. Ele copiou dados e código-fonte. A empresa diz ter identificado a atividade em 7 de outubro e começou a desativar as credenciais afetadas no mesmo dia. Em 14 de outubro, afirmou que todas as credenciais comprometidas conhecidas foram invalidadas, os caminhos de acesso bloqueados e quatro vulnerabilidades apontadas pela consultoria externa foram corrigidas e verificadas.

Segundo a PingCAP, não há evidência de que os dados armazenados pelos clientes nos serviços de produção do TiDB Cloud foram afetados, nem de que o atacante executou comandos ou manteve acesso persistente. O que saiu foram dados de cobrança e de negócio (termos de contrato, preços), informações de contas na nuvem e de uso do produto, como e-mails e texto e erros do editor SQL. Uma tabela com chaves de API foi exportada, mas cifrada, e a empresa não encontrou sinal de que tenham sido decifradas ou usadas. O grupo FulcrumSec, que reivindica o ataque, fala em muito mais: registros de gerenciamento, financeiros, arquivos no Google Cloud, tickets do Jira, CRM, analytics e um log de quatro anos de conexões ao TiDB Cloud. Também diz que o acesso durou quase dois meses e que replicou o sistema de gerenciamento da empresa, puxando cópias a cada seis horas por 22 dias. Essas alegações não foram confirmadas de forma independente pelo Dark Reading, embora o grupo tenha histórico de números confiáveis, como no caso do Manchester Airports Group.

A cobertura anterior do CEVIU mostra um padrão parecido de abuso de credenciais em nuvem, mas em incidentes de outras entidades. Em 18 de agosto de 2026, o CEVIU noticiou "Beacon CRM Confirma Exfiltração Total de Dados Após Credenciais AWS Expostas". Em 30 de setembro de 2026, veio "Ataque JadePuffer no Azure: Cibercriminosos Usam Identidades Sequestradas para Destruir Recursos na Nuvem", com service principals do Azure comprometidos. Em 20 de abril de 2026, o CEVIU publicou "Vercel Confirma Invasão e Investiga Impacto em Clientes". São casos distintos, sem relação direta com a PingCAP, que só mostram a recorrência do vetor de identidades e segredos.

Para quem opera ou contrata banco de dados gerenciado, a leitura é que o banco do cliente intacto não encerra o risco. Histórico de consultas, tickets e logs de diagnóstico podem guardar strings de conexão e segredos colados durante um debug. Na prática, vale rotacionar chaves de API de gestão (como a PingCAP recomendou), revisar o que o fornecedor retém e por quanto tempo, e perguntar se ele filtra segredos na entrada e como trata credenciais de contas de serviço.