10.6TB失窃，云数据库信任危机

一周之内，两起数据泄露把行业的遮羞布掀了：PingCAP确认内部系统被入侵，勒索团伙宣称拖走10.6TB数据和413个私有代码仓库；丹麦那边，管理员密码“123456”直接导致880万公民的CPR编号泄露。这不是巧合，而是数据基础设施在身份与控制面治理上长期欠账的集中兑现。

💣 两起泄露，一个共同病灶

10月，数据库领域被两颗雷同时炸响。据InfoQ报道，PingCAP确认其内部系统遭到未授权访问，源代码与客户相关数据被窃。勒索团伙FulcrumSec宣称共拖走10.6TB数据，清单读起来触目惊心：TiDB Cloud控制面记录、客户SQL语句、API密钥、连接日志、账单信息、内部文档，外加413个私有代码仓库。

几乎同一时间段，丹麦曝出更大规模的个人数据泄露：黑客利用“123456”等弱密码，攻入一家名为Pays ApS的公司账户，导致丹麦中央民事登记数据库约880万个CPR编号泄露。奥胡斯大学的教授批评得很直白——这等同于为黑客敞开大门。

一个入口在厂商内部系统，一个入口在第三方服务商的管理账户，路径完全不同，但塌掉的是同一层：身份与权限。这不是孤例。Verizon发布的《2024数据泄露调查报告》（DBIR）统计了全球上万起泄露事件，凭证滥用（ stolen credentials）连续多年位列泄露事件的首要攻击路径之一，人为因素相关的泄露占比约68%。换句话说，两起事件的“入口”不是意外，而是行业统计意义上的常态入口。

过去五年，数据平台在存储引擎、湖仓格式、实时管道上卷到了极致，而“谁能登录控制面、谁能拿到客户元数据”这道最基础的题，投入长期配不上它的风险权重。

🧩 被偷走的10.6TB里，最值钱的不是代码

对云数据库厂商来说，最贵的资产不在存储层，而在控制面。

假设你拿到一份TiDB Cloud控制面记录加客户SQL加API密钥的组合，能拼出什么？每个客户的集群规模与区域分布（控制面记录）、连接来源IP与时间规律（连接日志）、付费能力与合同体量（账单信息），再加上SQL语句里的schema、查询模式与业务语义——一份完整的客户业务地图就画出来了。对一个以TiDB开源项目为核心、靠商业版和服务变现的公司，外加413个私有代码仓库，分量不必多言。

这里要纠正一个普遍的认知偏差：很多人以为“代码被偷”是最大损失，但对云厂商而言，控制面元数据的泄露才是“一拖多”的连带风险。传统软件公司丢代码，损失是IP和竞争力；云数据库平台丢控制面，丢的是全体客户的可定位性、可访问性乃至凭证安全——攻击面从“一家公司”瞬间放大到“所有租户”。

这个风险并非理论推演。2023年初的CircleCI事件就是同构案例：攻击者窃取了一位工程师的凭证，从构建环境里拖走了大量客户的密钥与令牌，CircleCI随后被迫要求全体客户大规模轮换密钥。再看2024年的Snowflake客户数据泄露潮：攻击者并未攻破Snowflake本身，而是用信息窃取木马拿到的客户凭证，直接登录了Ticketmaster、AT&T等企业的租户，导致数亿条记录外泄。AT&T为此付出了真金白银——据其公告，为应对该事件付出了约370万美元的勒索支付（此为黑客论坛泄露的谈判记录所披露，公司未正面确认金额，但确实承认向攻击方付款以删除数据）。控制面与凭证失陷的连带成本，已经有了可量化的参照系。

IBM《2024年数据泄露成本报告》给出的行业基线是：单次数据泄露的平均成本达488万美元，其中涉及供应链/第三方泄露的事件平均成本高出约74万美元；而含远程办公与多云环境的组织，识别与遏制泄露的周期普遍拉长到200天以上。对B端基础设施公司，这些数字勾勒出成本的三段式结构：第一段是明账——应急响应、溯源、加固、可能的赔付；第二段是暗账——客户流失与续约谈判里的让利；第三段最重，是信任折价——“一个卖数据库的公司连自家数据都保不住”，这句话会在之后的每一场竞标里被对手复述。对开源商业化公司尤其如此：社区信任、企业客户信任、开发者信任，是三条互相滋养也互相传染的命。

控制面权限的最小化、客户元数据的脱敏与保留策略、API密钥的强制轮换，在相当多厂商的路线图上长期是“重要不紧急”，一排就是几个季度。这次事件之后，这套排序恐怕要被监管和客户双向重排。

🔑 “123456”：一道价值880万人的门锁

“123456”不是段子，是一道价值880万人的门锁。

还原一下丹麦事件的链条有多短：Pays ApS是接入丹麦公共数据的第三方服务商，黑客没有0day、没有APT级别的渗透作业，就是拿“123456”这类弱密码登录了它的账户，然后顺着既有权限，摸到了中央民事登记数据库——一个覆盖几乎全体丹麦人口的CPR编号库。880万编号，一条弱密码，一次供应链式塌方。

这不是丹麦第一次在CPR编号上栽跟头。2014年，丹麦政府曾因CPR编号保护不足被数据监管机构认定违规并罚款；此后丹麦公共部门逐步收窄CPR编号的使用范围，但通过第三方服务商这条链路，风险还是绕了回来——这也印证了丹麦数据保护局（Datatilsynet）多年来反复强调的一点：数据流出公共部门后，下游的治理能力不可假设。

这类事件的真正教训不在“要用强密码”这种常识层，而在结构层——数据流通链越长，最弱一环越不在“我们”手里。政府数据→数据服务商→服务商的管理员账户，任何一层失守，整条链路归零。而现实是，绝大多数公共数据开放和商业数据流通的授权流程里，“授权前评估”有章可循，“授权后监控”基本空白：对方的MFA覆盖率、凭证管理成熟度、员工离职后的权限回收，没人持续盯着。

丹麦这次等于用880万人的样本量，把这个盲区做了一次公开验证。

⚠️ 勒索的商业模式变了：数据是筹码，代码是杠杆

当代勒索的商业模式已经升级：先拖库，再定价，最后看公关部怎么接招。

FulcrumSec的操作路径很有代表性：宣称拿到10.6TB数据和413个代码仓，本质是先囤积“可验证的筹码”——晒内部文档、晒仓库列表，证明“我手里有真货”，把谈判的主动权做实，然后才谈价格。这与过去几年勒索生态的演变一致：Sophos《勒索软件现状调查》显示，2024年约有59%的受访组织支付过赎金，平均支付金额超过200万美元；而Chainalysis的链上数据估算，勒索软件攻击者2023年通过勒索支付获得约11亿美元，创历史新高。攻击者越来越不需要“黑进生产数据库”，囤积控制面元数据和代码仓库，就足以把谈判桌搭起来。

对B端基础设施公司，这类事件的成本是三段式的：明账是应急响应与可能的赔付；暗账是客户流失与续约让利；最重的是信任折价。对比一个参照：Uber 2022年被一名青少年通过社会工程攻入内部系统并晒出截图，事后除了整改，其CISO还因对早年泄露事件的隐瞒处理被刑事定罪——安全事件的账，早已不止是技术账。

🛠️ 数据平台该补的课，工程视角就四件

补课清单并不复杂，复杂的是把它当成P0而不是P2。

复盘近年公开的同类事件，根因高度收敛于四点：权限过宽、密钥长效、日志留痕不全、第三方凭证没人管。区别只在于有没有被爆出来。落到工程层面，四门课值得一门门补：

第一，把控制面当生产系统对待。控制面的可用性、审计、加密等级，不应低于数据面本身。控制面记录里躺着的，恰恰是全平台最敏感的元数据，它的防护标准理应更高而不是更低。

第二，凭证全生命周期治理。强制MFA、密钥入vault、短时效化、自动轮换；对客户侧API密钥，要提供可检测、可撤销的机制，而不是发出去就当“没有这回事”。Snowflake事件之后，Mandiant给出的核心建议就是强制MFA并轮换所有凭证——这也是整个行业当下最廉价、性价比最高的整改。

第三，客户元数据分级管理。SQL日志、连接日志本质上是敏感数据，要有脱敏策略、保留期限和访问审计——而不是当成运维副产品随手一存，一存好几年。IBM报告里的一条量化结论值得贴在运维群公告栏：部署了安全AI与自动化 extensively 的组织，平均泄露成本比未部署的少约222万美元，遏制周期也显著缩短——日志与审计的自动化，不是成本项，是止损项。

第四，把“控制面失陷”写进灾备演练。数据面有多活容灾、有故障演练，控制面呢？大多数平台的答案是：没有剧本。CircleCI、Okta等事件后，行业形成的共识动作就是“客户密钥全量轮换演练”——轮换流程没演练过的组织，真出事时的恢复周期会以周计，而不是以小时计。

数据要素市场越往前走，“可信任的数据基础设施”就越是一门显学。信任的建立要十年，折损只要一次事故。

两起事件，两个入口，同一个病灶。对整个数据行业来说，真正的分水岭不是谁的引擎更快、谁的湖仓格式更新，而是谁先把身份与控制面的欠账还清。可以预见的是，客户下一次选型的评分表里，“你们控制面怎么管、密钥怎么轮换、第三方凭证谁在盯”这些问题，会从附录挪到正文。