NVIDIAによると、クラウド開発基盤Brevでの不正な活動により、顧客のマシンに関連付けられたSSH鍵など、保存されていた情報が流出した可能性がある。Tom’s Hardwareが伝えた顧客向け通知によると、活動があったのは10月4日から10月20日まで。通知には年の記載がない。
SSH鍵は、コンピューターやサーバーへの接続に使うデジタル認証情報だ。今回対象となった鍵はBrevが設定し、顧客の仮想マシン（VM）へのアクセスに使われていた。VMはクラウド上で動作するソフトウェアベースのコンピューターだ。鍵が流出すれば不正アクセスのリスクにつながるが、NVIDIAは不正利用の証拠は見つからなかったとしている。
NVIDIAの対応は？
NVIDIAによると、影響を受けた鍵をローテーション（新しい鍵への交換）し、顧客のインスタンスにも新しい鍵を反映した。この変更により、古い認証情報を使って対象マシンに接続することを防ぐ狙いがある。同社の通知では、Brevのネットワーク上にある顧客情報が「影響を受けた可能性がある」としていた。
Tom’s Hardwareが伝えた内容では、不正な活動がどのように始まったのか、どのアカウントが関係したのか、顧客データが実際にコピーされたり閲覧されたりしたのかについて、NVIDIAは明らかにしていない。通知を受け取った顧客の数も公表していない。こうした情報がないため、現時点で入手できる内容だけでは、影響の範囲を判断しにくい。
未解明の点
不正利用の証拠が見つからなかったというNVIDIAの説明は、鍵が確実に使われなかったという意味ではない。これは、同社の調査で確認できた内容を示すものだ。報じられた通知には、調査担当者がどのような活動を確認したのか、また不正利用の有無をどのように調べたのかは記されていない。
Brevの顧客について確認されている対応は、NVIDIAが流出の可能性がある鍵を交換し、インスタンスを更新したことだ。報じられた通知には、顧客が取るべき追加の対応は記載されておらず、ほかの認証情報も変更する必要があるかどうかも示されていない。サービスの中断や、顧客のVMへのアクセスが確認されたかどうかについても説明はない。
なぜ重要か
Brevの顧客は、クラウド上のマシンやデータが影響を受けたかどうかを知りたいところだが、NVIDIAが公表したと報じられている通知では、対象アカウントは特定されておらず、顧客のVMへのアクセスも確認されていない。同社は鍵を交換し、不正利用の証拠は見つからなかったとしているが、顧客がほかに対応する必要があるかどうかは明らかにされていない。
