2026-10-22 12:13:32 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

国内某开源数据库云服务商遭遇超大规模数据泄露，数千家中国企业可能受影响

原创

暗网哨兵
暗网哨兵

暗网哨兵

2026年10月20日 18:41
四川

去阅读

事件概述

2026年10月20日，某威胁组织公开宣布，已成功入侵某全球知名开源分布式数据库公司的云托管服务平台，并完成大规模数据外泄。

根据该组织发布的声明，此次行动累计外泄数据总量约10.6 TB，涉及文件数量超过490万个。攻击者称在近两个月时间内持续进行数据抽取，期间对生产控制平面进行了多达88次定期导出，且全程未触发有效检测。

这是一起典型的针对云原生多租户平台的数据窃取与勒索事件。攻击者不依赖传统加密勒索，而是直接窃取核心业务数据、客户信息与内部敏感资料，随后公开部分内容以施加压力。

数据泄露详情

攻击者公布的数据统计显示，此次事件涉及多个相互关联的数据系统。相比单一数据库文件泄露，这些数据之间的关联关系可能具有更高的安全风险。

1. 控制面数据库及客户账户信息

控制面是云数据库平台管理租户、用户、项目、集群和访问权限的重要组成部分。攻击者声称，其获取了相关控制面数据库的完整副本，并披露了以下统计数据：

180,046个租户组织记录；
292,276条用户记录，其中166,108条包含真实姓名；
403,262个不重复的电子邮箱地址；
388,861个项目记录；
3,448,054个无服务器数据库集群记录；
16,299个专用数据库集群记录；
1,809个外部数据库连接端点；
290个客户AWS账户ID及85个GCP项目ID。

其中，外部数据库连接端点尤其值得关注。按照攻击者的描述，部分迁移任务记录包含连接外部MySQL或Aurora数据库所使用的账户信息。

如果这些记录中确实存在可用的连接凭证，且相关账户仍然有效，那么风险就可能从云数据库平台扩展至客户自行管理的数据库环境。

此外，攻击者声称获取了115,308组以明文形式存储的控制台API密钥，其中42,612组被其标记为仍处于活动状态。其公告还提到，最后生成的一组密钥创建于2026年9月30日04:46 UTC。

2. 客户SQL语句及数据库业务信息

在此次事件披露中，另一个值得关注的部分是客户SQL语句。攻击者声称获取了20,645,574条原始SQL语句，这些语句来自平台提供的SQL编辑器及相关查询功能。与普通的数据库访问日志不同，SQL语句可能直接反映用户对数据库执行的操作。例如：

数据表结构及字段设计；
数据库查询、更新和插入操作；
应用程序使用的数据模型；
部分业务逻辑及数据处理流程；
在特定情况下被写入查询语句的个人信息或其他敏感内容。

攻击者在公告中举例称，部分SQL语句涉及医疗从业人员信息表及巴西某诊所的患者名单。

3. 数据库网关日志与客户服务器IP

攻击者还声称获取了约四年的数据库网关访问日志。其公布的数据包括：

102,003,766条连接记录；
846,527个客户集群相关记录；
1,443,915个SQL用户名记录；
5,036,738个不重复的客户端IP地址；
23,651个按日划分的日志文件。

这些日志据称还记录了客户端软件类型、连接量、集群标识以及其他连接元数据。此类信息能够帮助运维人员分析访问行为，但如果被未经授权的第三方掌握，也可能形成一份具有较高价值的目标情报清单。

4. 云平台成本、账单及商业数据

攻击者声称获取了大量AWS成本与账单数据，以及财务系统和销售系统中的记录。其披露的部分统计包括：

约92GB带有租户标签的AWS成本数据；
约57个月的云支出记录；
涉及约1.07亿美元的AWS支出数据；
433,928条客户联系人记录；
191,187条公司记录；
约8,428个付费租户相关的支付记录；
584家客户相关的收入台账记录；
48,991份云市场订阅协议；
861条云市场购买方街道地址记录。

攻击者还声称，部分商业系统记录包含交易金额、客户合同、月度费用、产品类别和收入确认信息。

5. 内部源代码与安全配置

根据公告，攻击者声称获取了413个私有代码仓库，并保留了完整Git历史记录，涉及多个代码组织。其披露的仓库类型包括：

计费引擎；
账户及身份管理服务；
运维管理平台；
共享加密组件；
内部IT平台；
站点可靠性工程及审计相关仓库。

攻击者还针对部分代码提出了安全方面的指控，包括身份请求头校验、租户权限检查和加密实现等问题。

其中，攻击者声称，某共享加密组件采用了AES-CBC模式，并存在初始化向量派生方式不安全、多个下游数据库密码依赖单一服务器级密钥等设计问题。

6. 数据分析平台与身份关联信息

攻击者声称，获取的数据还包含网站分析、产品使用分析以及开发者情报相关记录。其公布的部分数据包括：

约108,871,828条GA4事件记录；
13,620,173个设备标识符；
290,458条用户身份关联记录；
2,895,030条登录身份与Cookie轨迹关联记录；
3,552份包含完整姓名的Mixpanel用户档案；
来自第三方开发者情报数据集的个人邮箱及职业资料。

三、客户及第三方企业可能面临哪些风险？

攻击者在公告中列举了多家企业客户，并声称部分客户的租户标识、集群版本、云区域和网络信息出现在相关记录中。从已披露的数据类型来看，潜在风险主要集中在以下几个方面。

第一，云平台账户及数据库访问风险。

如果泄露的API密钥、连接字符串或其他认证凭证仍然有效，可能导致未授权访问、数据查询或其他超出授权范围的操作。实际风险取决于凭证权限、有效期、网络访问限制及撤销情况。

第二，客户基础设施信息暴露。

历史连接日志、客户端IP、集群标识及数据库端点可能帮助攻击者识别目标系统的技术特征，降低后续侦察的成本。

第三，第三方云账户与代码仓库风险。

攻击者声称，部分工单及附件包含客户自身的云平台凭证、代码托管平台令牌和其他第三方服务密钥。如果相关记录属实，影响范围可能超出该数据库云服务商。

第四，商业秘密与客户关系暴露。

客户合同、云资源成本、付费情况和内部销售记录可能揭示企业的采购规模、合作关系及商业运营信息。

第五，个人信息与业务数据风险。

如果SQL语句、用户关联数据和工单附件中包含真实个人信息或生产环境数据，就可能带来隐私、合规及业务连续性方面的风险。

泄露主体简介

该开源数据库是由国内某公司自主设计、研发的开源分布式关系型数据库。它支持水平弹性扩展、ACID 事务、标准 SQL、MySQL 语法和 MySQL 协议，具有数据强一致的高可用特性，是一个不仅适合 OLTP 场景还适合 OLAP 场景的混合数据库。

该开源数据库已被全球超过1500家企业用于生产环境，覆盖金融与支付、互联网与电商、游戏、物流与出行、电信、制造、零售、医疗健康、教育、SaaS平台以及AI相关应用等多个行业。其客户多为对数据库扩展性、一致性及运维复杂度有较高要求的中大型企业，尤其在中国互联网、金融及出海业务中应用较为广泛。其开源社区活跃，同时提供企业版与云托管服务，以满足不同规模需求。

（该信息为暗网论坛威胁者发布，暗网哨兵对该消息进行分析、转载和总结，其真实性尚待进一步核实。）

历史文章

某商业情报调查公司遭勒索！

国内某人体器官捐献管理中心数据库疑似泄露

汉堡王1100万条会员信息遭泄露！

国内某智能驾驶公司核心源码、财务、客户数据全被挂牌出售

某勒索组织突袭全球港口物流链：中国相关企业上榜，数据发布时间与威胁细节全梳理

印度外交部与国家信息中心7500余封邮件遭公开出售