01主体背景

某分布式数据库云服务提供商对外销售其开源分布式数据库的托管版本，其数据库产品已被全球超过1500家企业信赖使用（部分地区宣传称超过3000至4000家），覆盖金融服务、游戏、电子商务、SaaS、AI平台等多个行业。已知公开案例包括大型社交平台、协作软件厂商、支付与金融科技公司、游戏开发商以及AI智能体平台等，部分客户将生产负载迁移至其托管服务。该公司在共享多租户平台上运营客户集群，对外核心主张为安全、可靠的托管服务。

02监测线索

威胁行为者在泄露站点发布详细页面，措辞严厉，称已持续入侵该提供商内部系统近两个月，且全程未被发现。称外泄行动持续近两个月，在最初约8TB被带走后仍持续泄露。攻击者利用从该提供商自身代码仓库中提交的凭据（GCP服务账号密钥与Azure服务主体），搭建了针对生产控制平面数据库的自动化复制通道，直接让对方基础设施将数据主动推送出来。在最后22天（9月8日至9月30日），该通道每六小时重新导出一次运营核心全部表，连续88次导出未触发任何检测事件，最后一次发生在9月30日06:02 UTC。

据称数据泄露重点如下：
总导出量约10.6TB，共4,901,203个文件
连续88次每六小时一次的生产控制平面导出，全程未被检测
约50个GCP存储桶、5.338亿行BigQuery仓库
180,046个租户组织、292,276条用户记录（含166,108个真实姓名）、403,262封独立邮件
115,308个明文客户API密钥对（其中42,612个活跃），最新密钥生成于9月30日04:46
20,645,574条客户SQL语句（来自SQL编辑器等功能，涵盖应用模式与业务逻辑）
102,003,766条网关连接、5,036,738个客户服务器IP
377,446个Jira问题、433,928个CRM联系人
92GB租户标签AWS成本数据
413个私有源代码仓库
1,809个外部数据库端点（含客户MySQL/Aurora主机上的根和管理员账户）、290个客户AWS账户、85个GCP项目ID
财务与商业账簿（含Stripe付费租户、NetSuite收入账本、AWS市场订阅等）
用户与设备图谱（含设备标识符、登录身份与cookie关联、第三方开发者情报中的个人邮箱与社交资料）

页面还指责该提供商对其自身云环境几乎毫无保护性，称其无法检测在AWS、GCP、Atlassian/Jira、Azure上大规模、不加掩饰的数据外流，并称这种状况“令人震惊且极其不负责任”。相关说法未经独立完整核验。

03风险与核实

若上述说法属实，可能造成的风险重点如下：
长时间监控盲区被持续滥用：连续88次高频导出未被检测，表明云监控、异常行为检测与数据外流告警存在严重持续性缺口
明文API密钥与集群凭据被用于进一步横向访问客户自身环境
外部数据库端点（含根和管理员账户）被用于直接访问客户下游数据库
客户服务器IP、网关连接日志与SQL语句被用于精准定向攻击或业务逻辑还原
财务、成本与商业账簿数据被用于针对性钓鱼、供应链攻击或商业情报利用
413个私有源代码仓库泄露可能暴露内部实现缺陷，放大后续利用风险
用户与设备图谱（含个人邮箱、社交资料与设备标识符）被用于定向社会工程攻击
客户基础设施信息被进一步用于针对托管平台客户的二次入侵

鉴于该提供商公开宣称服务全球超过1500家企业（部分宣传更高），且客户涵盖金融、游戏、电商、SaaS及AI等关键行业，若控制平面与凭据类数据确遭外泄，潜在影响范围可能覆盖大量生产负载。一旦API密钥、外部端点或连接日志被滥用，理论上可被用于针对部分客户环境的横向访问或定向攻击，尤其对依赖其托管服务的金融与游戏类客户影响更为敏感。

04总结

总结：威胁行为者声称已利用该提供商自身仓库中的凭据，建立自动化复制通道，近两个月持续、高频导出其控制平面核心数据且全程未被检测，并由此外泄约10.6TB数据。重点内容涵盖完整控制平面、明文API密钥、客户SQL语句、四年网关连接日志、源代码、财务与商业账簿及用户设备图谱。该提供商公开称其产品被全球超过1500家企业使用，覆盖金融、游戏、电商等关键行业。若属实，风险主要在长时间监控盲区被持续滥用、凭据被用于进一步横向访问，以及客户基础设施与商业情报被定向利用。