A NVIDIA afirma que uma atividade não autorizada em sua plataforma de desenvolvimento em nuvem Brev pode ter exposto informações armazenadas nela, incluindo chaves SSH associadas a máquinas de clientes. Segundo o Tom’s Hardware, um aviso enviado a clientes situou a atividade entre 4 e 20 de outubro. O comunicado não informa o ano dessas datas.
Uma chave SSH é uma credencial digital usada para se conectar a um computador ou servidor. As chaves em questão foram configuradas pela Brev e usadas para acessar máquinas virtuais (VMs) de clientes — computadores baseados em software que rodam na nuvem. Se uma chave for exposta, pode haver risco de acesso não autorizado, embora a NVIDIA diga que não encontrou indícios de uso indevido das chaves.
O que a NVIDIA fez?
A NVIDIA afirma que trocou as chaves afetadas e atualizou as instâncias dos clientes com as novas chaves. A mudança tem o objetivo de impedir que as credenciais antigas sejam usadas para se conectar a essas máquinas. No aviso, a empresa disse que informações de clientes da rede Brev “podem ter sido afetadas”.
Nos detalhes divulgados pelo Tom’s Hardware, a empresa não informou como a atividade não autorizada começou, quais contas foram envolvidas nem se alguém copiou ou visualizou dados específicos de clientes. Também não informou quantos clientes receberam avisos. Com essas lacunas, é difícil determinar a extensão do incidente com base nas informações disponíveis.
O que ainda não está claro
A afirmação da NVIDIA de que não encontrou indícios de uso indevido não significa que as chaves certamente não tenham sido usadas; ela descreve o que, segundo a empresa, a investigação constatou. O aviso divulgado não explica que atividade os investigadores observaram nem como verificaram se houve uso indevido.
Para os clientes da Brev, a medida confirmada é que a NVIDIA substituiu as chaves potencialmente afetadas e atualizou as instâncias. O aviso divulgado não recomenda outras providências aos clientes nem informa se eles precisam trocar outras credenciais. Também não menciona interrupções no serviço ou acesso confirmado às VMs dos clientes.
Por que importa
Clientes da Brev podem querer saber se suas máquinas ou dados na nuvem foram expostos, mas o aviso divulgado pela NVIDIA não identifica as contas afetadas nem confirma acesso às VMs dos clientes. A empresa afirma que substituiu as chaves e não encontrou indícios de uso indevido; não há informação sobre a necessidade de outras providências por parte dos clientes.
