事案の概要データ
| 米国本社の報告 | 2026年10月16日 |
|---|---|
| 日本法人の公表 | 2026年10月21日 |
| 侵入期間 | 2026年9月9日〜10月7日（米国時間） |
| 検知・対応 | 2026年10月7日に検知し、認証情報を無効化 |
| 漏洩 | 国内で最大約5万件 |
| 原因 | 第三者が不正取得したサービスアカウントの認証情報で社内システムへアクセス |
| 未確認 | TiDB Cloudへの不正アクセスとカード情報流出は未確認 |
| 注意 | 国内件数と世界全体の件数は合算しない |
図解：この事故の構造
- 9月9日（米国時間）不正取得されたサービスアカウントの認証情報で社内システムへアクセス開始
- ↓ 約1か月 気づかれず
- 10月7日検知し、認証情報を無効化
- ↓ 9日
- 10月16日米国本社の報告が公開される
- ↓ 5日
- 10月21日日本法人が国内で最大約5万件の漏洩を公表
何が起きたのか
PingCAP Japanは2026年10月21日、国内で最大約5万件の個人情報が漏洩したことを公表しました。米国本社の報告は10月16日に公開されています。
原因は、第三者が不正取得した「サービスアカウント」の認証情報で社内システムへアクセスされたことです。侵入期間は2026年9月9日から10月7日（米国時間）で、約1か月にわたります。10月7日に検知し、認証情報を無効化しました。
同社が提供するデータベースサービス「TiDB Cloud」への不正アクセスと、カード情報の流出は確認されていません。
「サービスアカウント」とは何か
サービスアカウントは、人ではなくプログラムやシステムが使うためのアカウントです。システム同士が自動で連携するときに使われます。
人が使うアカウントと違い、いくつかの特徴があります。パスワードが長期間変更されないことが多い、多要素認証をかけにくい、そして「誰も使っていないはずの時間に動いていても気づかれにくい」という点です。
だからこそ狙われます。2026年10月16日の日本経済新聞社（開発用クラウドの認証情報窃取）、10月20日のNEC（委託先の正規アカウント）も、人以外のアカウントや保守用の認証情報が使われた事案でした。
対策としては、(1)サービスアカウントの一覧を作り、使われていないものを削除する、(2)定期的に認証情報を入れ替える、(3)想定外の時間帯・場所からの利用を検知する、が基本になります。
中小企業でも、外部サービスとの連携のために発行したAPIキーやアカウントが、使わなくなった後も有効なまま残っていないか確認する価値があります。
約1か月の侵入
9月9日から10月7日まで、約1か月にわたってアクセスされていました。
サービスアカウントの不正利用が長期化しやすいのは、「正常な自動処理」と見分けがつきにくいためです。人間の操作であれば、深夜のログインや普段と違う場所からのアクセスで異常に気づけます。しかし機械の処理は24時間動いているのが当たり前です。
有効なのは、サービスアカウントごとに「普段どのくらいの量・頻度でアクセスするか」を把握しておくことです。その基準から外れた動きがあれば検知できます。
国内件数と全体件数を分けた
公表では、国内で最大約5万件とされ、世界全体の件数とは合算しないことが示されています。
グローバル企業の事案では、本社の発表と各国法人の発表が別々に出ることがあります。数字の基準も異なるため、単純に足すと実態より大きくなります。
本件では米国本社の報告が10月16日、日本法人の公表が10月21日と、5日の差がありました。海外本社の発表が先に報じられ、日本語の公式発表を待つ間に不確かな情報が広がることもあります。
グローバル企業に勤めている、あるいはサービスを使っている場合は、海外本社の発表も確認しておくと早く状況を把握できます。
時系列で見る経過
- 2026年9月9日（米国時間）第三者が不正取得したサービスアカウントの認証情報で社内システムへのアクセスを開始
- 2026年9月9日〜10月7日約1か月にわたりアクセスが継続
- 2026年10月7日検知し、認証情報を無効化
- 2026年10月16日米国本社の報告が公開される
- 2026年10月21日日本法人が国内で最大約5万件の漏洩を公表
中小企業が学ぶべきポイント
- サービスアカウント（機械が使うアカウント）の一覧を作り、不要なものを削除する。
- サービスアカウントの認証情報を定期的に入れ替える。長期間同じままにしない。
- 機械の処理は24時間動くのが普通。だから「普段の量・頻度」を把握して基準にする。
- 使わなくなった外部連携のAPIキー・アカウントが有効なまま残っていないか確認する。
- グローバル企業の事案では、国内件数と全体件数を合算しない。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。