NVIDIA afirma que una actividad no autorizada en su plataforma de desarrollo en la nube Brev pudo haber expuesto información almacenada allí, incluidas claves SSH asociadas a equipos de clientes. Según Tom’s Hardware, un aviso a los clientes situó la actividad entre el 4 y el 20 de octubre. El aviso no especifica el año.
Una clave SSH es una credencial digital que se utiliza para conectarse a una computadora o un servidor. Brev configuró las claves en cuestión para acceder a las máquinas virtuales (VM) de los clientes, es decir, computadoras basadas en software que funcionan en la nube. Si una clave queda expuesta, puede existir el riesgo de que alguien acceda sin autorización, aunque NVIDIA afirma que no encontró indicios de que se usaran indebidamente.
¿Qué hizo NVIDIA?
NVIDIA afirma que rotó las claves afectadas —es decir, las reemplazó por otras nuevas— y actualizó las instancias de los clientes con las claves sustitutas. El objetivo es impedir que las credenciales antiguas se utilicen para conectarse a esas máquinas. En su aviso, la empresa señaló que la información de los clientes de la red de Brev «podría haberse visto afectada».
En los detalles publicados por Tom’s Hardware, la empresa no explicó cómo comenzó la actividad no autorizada, qué cuentas estuvieron involucradas ni si alguien copió o consultó datos concretos de clientes. Tampoco informó cuántos clientes recibieron avisos. Sin esos datos, es difícil determinar el alcance del incidente con la información disponible.
Qué sigue sin estar claro
La afirmación de NVIDIA de que no encontró indicios de uso indebido no equivale a decir que las claves definitivamente no se utilizaron; describe lo que, según la empresa, encontró su investigación. El aviso citado no explica qué actividad observaron los investigadores ni cómo comprobaron si hubo un uso indebido.
La respuesta confirmada para los clientes de Brev es que NVIDIA reemplazó las claves potencialmente afectadas y actualizó las instancias. El aviso citado no incluye más instrucciones para los clientes ni aclara si deben cambiar otras credenciales. Tampoco menciona interrupciones del servicio ni confirma que alguien haya accedido a las VM de los clientes.
Por qué importa
Los clientes de Brev quizá quieran saber si sus máquinas o datos en la nube quedaron expuestos, pero el aviso citado por NVIDIA no identifica las cuentas afectadas ni confirma que se haya accedido a las VM de los clientes. La empresa afirma que reemplazó las claves y no encontró indicios de uso indebido; no se ha indicado si los clientes deben tomar otras medidas.
