In seiner Sicherheitsmitteilung, veröffentlicht zwölf Tage nach der ersten Entdeckung des Vorfalls, räumt PingCAP einen Zugriff auf die eigenen Systeme zwischen dem 9. September und dem 7. Oktober ein. Eine mit externer Unterstützung durchgeführte Untersuchung fand nach Darstellung des Unternehmens keine Hinweise darauf, dass die Angreifer schädliche Befehle ausgeführt oder dauerhaften Zugang eingerichtet hätten; auch auf Kundendatenbanken sei nicht zugegriffen worden.

Stattdessen seien Abrechnungs- und sonstige Geschäftsdaten der Kunden betroffen – etwa Vertragskonditionen und Preise – sowie diverse Informationen zu Cloud-Konten und Produktnutzung, darunter E-Mail-Adressen sowie Texte und Fehlermeldungen aus dem SQL-Editor. Zudem sei eine Tabelle mit verschlüsselten API-Schlüsseln exportiert worden; die Verschlüsselung habe laut den Ermittlern verhindert, dass die Schlüssel tatsächlich missbräuchlich eingesetzt werden konnten.

Hinter dem Angriff steht die trotz ihres Namens als Erpressergruppe auftretende „Fulcrum Security", kurz FulcrumSec – eine vergleichsweise junge Gruppe, auf deren Leak-Seite bereits Organisationen wie LexisNexis, Novo Nordisk und die Manchester Airports Group (MAG) stehen. Im Herbst verschaffte sich die Gruppe offenbar über einen Monat oder länger nahezu ungehinderten Zugang zu Cloud-Management-, Finanz-, Analyse-, Speicher- und weiteren Systemen von PingCAP.

In einem Eintrag auf ihrer Leak-Seite zeichnet FulcrumSec ein deutlich düstereres Bild als der Hersteller. Die Gruppe behauptet, im Besitz zu sein von:

  • sämtlichen Service-Management-Datensätzen von PingCAP
  • den Finanzunterlagen
  • den in Google Cloud abgelegten Dateien
  • Jira-Support-Tickets
  • CRM-Daten
  • Analysedaten
  • Quellcode
  • einem über vier Jahre reichenden Protokoll sämtlicher Verbindungen, die Kunden jemals zum Dienst TiDB Cloud aufgebaut haben

Entwendete TiDB-Datenbanken selbst reklamieren die Angreifer ausdrücklich nicht für sich. Stattdessen hätten sie indirekt an eine Fülle potenziell verwertbarer Nutzerdaten gelangt – neben den genannten API-Schlüsseln auch weitere Geheimnisse sowie möglicherweise sensible interne Daten, die über Datenbankbefehle in der Cloud offengelegt wurden.

Namentlich nennt FulcrumSec einzelne betroffene Unternehmen, darunter AirBnB und Booking.com, die asiatischen Konzerne Baidu und Fujitsu sowie mehrere der weltweit größten Videospielfirmen wie Capcom, Konami und Square Enix. Den größten Anteil stellt Asien: Fast 2.000 betroffene Organisationen entfallen auf Japan, China und Hongkong, weitere 500 auf Indien.

Die Gruppe gibt ihre Zugriffsdauer zudem mit knapp zwei Monaten an – also länger als von PingCAP eingeräumt. Der Zugang sei so umfassend und ungestört gewesen, dass die Angreifer in dieser Zeit eine Spiegelung von PingCAPs eigenem Service-Management-System aufsetzen konnten. Statt Daten manuell abzuziehen, habe ein Replikationsmechanismus alle sechs Stunden automatisch frische Kopien der internen Datenbank gezogen – 22 Tage lang.

Angaben von Angreifern sind grundsätzlich mit Skepsis zu betrachten, und die Behauptungen von FulcrumSec sind nicht unabhängig bestätigt. Die Gruppe hat allerdings eine gewisse Historie der Zuverlässigkeit: Im vergangenen Sommer kompromittierte sie die Manchester Airports Group und sprach von 86 GB gestohlener Daten. Diese enthielten nach Recherchen von BleepingComputer deutlich mehr echte personenbezogene Daten, als MAG einräumte. Und anders als bei Tätern, die ihre Beute aufbauschen, war es hier umgekehrt: Die 86 GB bezogen sich auf komprimierte Daten; unkomprimiert waren es nach Klarstellung der Angreifer tatsächlich 640 GB.

Selbst wenn man die Darstellung der Angreifer vollständig ausblendet und allein PingCAPs engere Einschätzung zugrunde legt, bleibt ein erhebliches Risiko für Kunden. Die akutesten Gefahren liegen dabei weniger in den breit gestreuten Kundendaten oder den – sofern tatsächlich geschützten – API-Schlüsseln, sondern in den unscheinbareren abgeflossenen Beständen: Jira-Tickets, SQL-Historien und anderen Stellen, an denen Organisationen unbedacht interne Daten hinterlassen. Wer verwaltete Datenbankdienste in der Cloud nutzt, schickt Befehle an die Server des Anbieters – und diese Interaktionen können Betriebsgeheimnisse oder andere sensible Daten enthalten.

„Anbieter haben es in der Regel nicht darauf angelegt, Geheimnisse zu speichern. Kunden übergeben sie aber oft, um Komfortfunktionen zu nutzen, und die Daten setzen sich an Orten ab, die kaum jemand für einen Speicher von Zugangsdaten hält", erklärt Crystal Morin, Senior Cybersecurity Strategist bei Sysdig. Als Beispiel nennt sie PingCAPs SQL-Editor-Texte und -Fehlermeldungen: „Das ist Abfragehistorie und Fehlerausgabe – genau dort sammeln sich Geheimnisse an, wenn jemand einen Verbindungsstring einfügt, um mal eben etwas zu debuggen." In ihrem Leak-Eintrag hob FulcrumSec etwa ausgeleitete SQL-Anweisungen hervor, in denen offen die Patientenliste einer medizinischen Klinik und bei einer anderen eine Liste von Medizinern einsehbar waren.

Shane Barney, CISO bei Keeper Security, schließt sich dieser Einschätzung an: „Der PingCAP-Vorfall zeigt eine alltägliche Realität der Unternehmenssicherheit: Angreifer müssen die primäre Datenbank eines Kunden gar nicht direkt kompromittieren, wenn sie systematisch vorgelagerte Zugangsdaten abgreifen können." In modernen SaaS-Ökosystemen sickerten Kunden-Metadaten, API-Schlüssel und diagnostische Abfrageprotokolle routinemäßig über alltägliche Betriebstelemetrie in die Umgebungen der Anbieter. „Wenn Dienstkonto-Zugangsdaten oder administrative API-Token bei einem Anbieter gestohlen werden, verwandeln sich diese aggregierten Betriebsdaten in eine Landkarte für die Ausnutzung."

Barney rät zu konsequenter Cloud-Hygiene – etwa dem Rotieren anbieterseitiger API-Schlüssel sowie dem Beseitigen fest einprogrammierter und langlebiger Geheimnisse in Entwickler-Workflows – und zu einer gründlichen Prüfung der Managed-Service-Provider: mit fortlaufenden Drittparteien-Risikobewertungen und unabhängigen Zertifizierungen und Nachweisen wie SOC 2 Type II und ISO 27001.

Morin empfiehlt, bei der Auswahl von Cloud-Anbietern konkrete Fragen zu stellen: Welche von Kunden übergebenen Daten speichert der Anbieter, und wie lautet die Aufbewahrungsrichtlinie? Wird beim Einlesen auf Geheimnisse gescannt und Gefundenes geschwärzt? Wie werden Dienstkonto-Zugangsdaten gehandhabt – sind sie kurzlebig, wie eng sind sie zugeschnitten, wie oft werden sie rotiert, und welche Erkennungen schlagen bei auffälliger Nutzung von Zugangsdaten oder Konten an? Und nicht zuletzt: „Fragen Sie nach der Benachrichtigung bei Sicherheitsvorfällen, konkret nach dem Zeitrahmen und danach, was sie auslöst."

PingCAP hat sich auf eine Bitte um Stellungnahme bis Redaktionsschluss nicht geäußert.