En bref

  • FulcrumSec revendique le vol de 10,6 To chez PingCAP TiDB Cloud, incluant 115 000 clés API (42 000 actives), 400 000+ adresses email et des données de 180 000 organisations clientes.
  • PingCAP confirme un accès non autorisé à des données opérationnelles internes, mais conteste l'impact direct sur les bases de données clients.
  • Action immédiate pour tous les clients TiDB Cloud : rotation de toutes les clés API sans exception, audit des accès récents, surveillance des activités inhabituelles.

Les faits

Le 19 octobre 2026, le groupe d'extorsion FulcrumSec a publié sur son site de fuite une revendication de violation de données visant PingCAP, l'entreprise éditrice du système de base de données distribuée TiDB et de son service managé TiDB Cloud. Cette revendication constitue l'un des incidents de sécurité les plus significatifs du mois d'octobre 2026 en raison du volume et de la criticité des données prétendument compromises.

Selon FulcrumSec, le groupe aurait exfiltré un total de 10,6 téraoctets de données appartenant à PingCAP et à ses clients TiDB Cloud. Dans un premier temps, le groupe a publié environ 200 gigaoctets de données à titre de preuve de compromission, décrivant ces données comme un "premier lot" d'un ensemble bien plus large. Cette approche par publication partielle est une tactique d'extorsion classique visant à démontrer la crédibilité de la revendication et à exercer une pression financière sur la cible pour forcer le paiement d'une rançon.

La liste des données prétendument compromises est particulièrement alarmante pour les clients TiDB Cloud. FulcrumSec revendique l'accès à 180 000 organisations clientes de la plateforme, à plus de 400 000 adresses email distinctes appartenant à des utilisateurs, et surtout à 115 000 clés API dont 42 000 seraient encore actives à la date de la publication. Ce dernier chiffre est critique : des clés API actives permettent à quiconque les possède d'accéder directement aux ressources TiDB Cloud des clients concernés, sans aucune autre forme d'authentification.

FulcrumSec affirme également avoir récupéré plus de 20,6 millions d'instructions SQL issues des environnements de production de clients TiDB Cloud. Ces requêtes SQL constituent un vecteur de fuite indirect considérable : elles peuvent révéler la structure des bases de données, les types de données stockées, et potentiellement des données sensibles incluses dans des requêtes de débogage ou des logs applicatifs. Dans les secteurs soumis à des réglementations strictes (finance, santé, e-commerce), la divulgation de schémas de bases de données et de patterns de requêtes peut suffire pour concevoir des attaques ciblées sur les clients finaux.

Parmi les organisations potentiellement affectées selon les données partielles publiées par FulcrumSec, on retrouve des entreprises de renom mondial : Booking.com (plateforme de réservation hôtelière), Shopee (marketplace e-commerce d'Asie du Sud-Est), Capcom (éditeur japonais de jeux vidéo), ainsi que plusieurs acteurs du secteur des cryptomonnaies incluant Bitget, Pionex, DigiPlus, NFTscan et Chainbase. La présence de ces organisations parmi les clients TiDB Cloud a été partiellement confirmée par leurs propres communications ou par des sources tierces indépendantes.

PingCAP a réagi en publiant un communiqué officiel reconnaissant qu'un accès non autorisé à certaines données opérationnelles internes a eu lieu. Cependant, l'entreprise a tenu à distinguer cet incident d'une compromission directe des bases de données clients elles-mêmes, affirmant que l'incident ne concerne pas de vulnérabilité produit et n'affectera pas la sécurité des bases de données et données métier des clients. Cette position nuancée est cohérente avec le scénario d'une compromission de l'infrastructure opérationnelle de PingCAP — systèmes de gestion, outils d'administration, monitoring, logs — plutôt qu'une intrusion directe dans les bases de données hébergées pour les clients.

FulcrumSec est un groupe relativement récent dans le paysage des extorsions cyber, apparu en 2026 et se distinguant par sa cible des plateformes cloud et SaaS plutôt que des infrastructures on-premise traditionnelles. Cette orientation reflète une évolution notable du paysage des menaces : les fournisseurs de services cloud et les éditeurs SaaS représentent des cibles d'une valeur multiplicatrice exceptionnelle — compromettre l'infrastructure opérationnelle d'un fournisseur cloud peut potentiellement exposer les données de milliers de clients en une seule opération.

Il convient de souligner que les revendications de FulcrumSec n'ont pas encore fait l'objet d'une vérification indépendante exhaustive à la date de publication de cet article. Les données publiées dans le premier lot de 200 Go n'ont été analysées que partiellement par des chercheurs en sécurité indépendants. Néanmoins, la confirmation partielle de PingCAP et les éléments techniques déjà rendus publics justifient une réaction immédiate et sans délai de la part de tous les clients TiDB Cloud, sans attendre une confirmation définitive du périmètre exact de la compromission.

Impact et exposition

L'impact potentiel concerne en premier lieu tous les clients actuels et passés de TiDB Cloud. Même si les bases de données elles-mêmes ne sont pas directement compromises selon PingCAP, la divulgation de 115 000 clés API dont 42 000 actives constitue une menace immédiate et concrète sur la sécurité des ressources clients. Toute clé API compromise donne un accès direct aux opérations autorisées par les permissions de cette clé sur le compte TiDB Cloud associé.

Pour les entreprises des secteurs financier et crypto (Bitget, Pionex, Chainbase), les risques sont amplifiés par la nature des données stockées et par les obligations réglementaires (RGPD en Europe, CCPA aux États-Unis, MiCA pour les actifs numériques). La divulgation de 20,6 millions de requêtes SQL peut indirectement exposer des données personnelles si celles-ci apparaissent dans des logs SQL ou des requêtes de débogage.

Recommandations

  • Rotation immédiate de TOUTES les clés API TiDB Cloud — actives et inactives — sans exception ni délai. C'est l'action de première priorité absolue.
  • Auditer l'ensemble des accès à votre instance TiDB Cloud depuis au moins le 1er octobre 2026 pour identifier des connexions anormales via des clés API potentiellement compromises.
  • Inventorier toutes les applications, scripts et systèmes automatisés utilisant des clés API TiDB Cloud pour planifier la rotation sans interruption de service.
  • Vérifier si des données personnelles (RGPD/CCPA) apparaissent dans vos logs SQL, requêtes de débogage ou données de monitoring stockées sur TiDB Cloud.
  • Contacter PingCAP directement pour obtenir une confirmation du périmètre exact de la compromission et vérifier si votre organisation figure dans les données publiées.
  • Évaluer la nécessité d'une notification aux autorités de protection des données (CNIL en France) selon l'analyse du risque pour les personnes concernées, dans le délai réglementaire de 72 heures.

Mes données dans TiDB Cloud sont-elles directement accessibles si ma clé API a été compromise ?

Potentiellement oui, selon les permissions associées à la clé API compromise. Une clé API TiDB Cloud active permet d'interagir avec les ressources de votre organisation sur la plateforme : gestion des clusters, des bases de données, des utilisateurs, et selon les droits configurés, lecture et écriture de données. C'est pourquoi la rotation immédiate de toutes les clés est la première action à mener. Après rotation, les anciennes clés — même si compromises — ne fonctionneront plus. L'audit des logs d'accès vous permettra ensuite de détecter si des opérations non autorisées ont eu lieu avant la rotation.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit