GeForce NOW侵害、本体は無傷で地域提携先が被害

ShinyHuntersが「NVIDIA GeForce NOW」のユーザーデータベースを盗み出したと公言してから3日。NVIDIAが回答した。本体は無傷だが、提携先のシステムが破られていた。

NVIDIAの公式回答が示した境界線

ShinyHuntersが「GeForce NOWを侵害し、数百万件のユーザー記録を入手した」と犯罪フォーラム上で名乗りを上げたのは、5月2日のことだった。NVIDIAは沈黙を続け、サンプルデータの真偽は宙に浮いたままだった。

その沈黙が、5月5日にVideoCardz宛ての公式声明という形で破られている。

我々の調査では、NVIDIAが運営するサービスへの影響は確認されていない。問題はアルメニアを拠点とするGeForce NOWアライアンスパートナーのシステムに限定されており、現在パートナーと協力して調査と対応を進めている。影響を受けたユーザーにはGFN.amから通知される。

公式の言い回しを翻訳すると、こうなる。ShinyHuntersの言い分は半分正しい。実際にデータは流出していた。ただし、NVIDIA本体のサーバーからではない。アルメニアの地域パートナー「GFN.am」の管理下にあるシステムからだ。

GFN.amは、アルメニア・アゼルバイジャン・ジョージア・カザフスタン・モルドバ・ウクライナ・ウズベキスタンの7カ国でGeForce NOWを運営する地域事業者で、NVIDIAの「アライアンスパートナー」のひとつにあたる。GeForce NOWは世界の多くの地域でこうした地域パートナーが独自のインフラと料金体系で運営しており、NVIDIA本社の直営とは別系統で動いている。

つまり今回の侵害が直接的に脅かしているのは、地域パートナー経由でGeForce NOWを利用しているこれら7カ国のユーザーであって、北米や日本、欧州主要国の直営サービスを使うユーザーではない。

流出データの中身は、攻撃者にとって理想的だった

NVIDIAが認めた範囲の話を脇に置いて、ShinyHuntersが提示した「商品リスト」のほうを見てみる。彼らが犯罪フォーラム「BreachForums」に掲載したデータ説明には、こう並んでいた。

氏名（姓名）、認証済みメールアドレス、ニックネーム/ユーザー名、生年月日、メンバーシップ状態、TOTP/2FAステータス、内部ロールとアクセスフラグ、アカウント作成日、その他多数の属性

このリストの怖さは、項目数の多さではなく「TOTP/2FAステータス」の存在だ。

通常のデータ流出では、攻撃者は「メールアドレスのリスト」を手に入れる。そこからフィッシングや認証情報スタッフィングに展開していく。だが守りを固めたアカウントが多ければ、攻撃の歩留まりは低い。

ところが今回の流出データには、どのアカウントが2FAをオフにしているかが書かれていた可能性がある。攻撃者は無作為に試す必要がない。守りの薄いアカウントだけを狙い撃ちできる。歩留まりが跳ね上がる構造が、データの中にあらかじめ仕込まれていることになる。

そこに認証済みのメールアドレスと実名、生年月日が組み合わさる。「NVIDIAサポートを名乗る連絡」を作るための材料が、ひと揃いそろっている格好だ。ゲームコミュニティはもともと音声フィッシングやSMS詐欺の標的にされやすい。今回のデータが流通すれば、それらの攻撃が個別にカスタマイズされ、説得力を増す。

ShinyHuntersの2026年は、サードパーティ経由が定番になった

今回の事件を「NVIDIA本体は無傷だった」だけで片付けると、見落としが生じる。ShinyHuntersが2026年に入ってから仕掛けてきた攻撃は、ほぼ全てがサードパーティ経由で成功している。

直近の主要事例を並べると、その輪郭が見えてくる。1月にはPanera BreadがMicrosoft Entra SSOの侵害を起点に約500万人分の記録を流出させた。2月にはWynn ResortsとFigure Technologyが標的になり、それぞれ数十万から100万件規模の被害を出している。3月にはカナダのTelus子会社Telus Digitalから最大1ペタバイト規模のデータが盗まれたとされ、6500万ドルの身代金要求が報じられた。4月にはADTがOkta SSO経由のボイスフィッシングで550万件のSalesforceデータを失い、4月末から5月初頭にかけてはInstructure（Canvas LMS）が3.65テラバイトのデータ流出を確認している。

GoogleのMandiant部門は、これら一連のキャンペーンをUNC6040系のクラスターとして追跡しており、UNC6040、UNC6240、UNC6661という複数の識別子で活動を分類している。攻撃の入り口はSalesforce Experience Cloudの設定不備や、IT担当者を装ったボイスフィッシングによるSSO認証情報の窃取だ。本丸の企業を直接攻めるのではなく、外部委託先や統合ツール、地域パートナーといった「隣の家」から侵入する。

NVIDIAのケースも、構図としてはこの系列に並ぶ。本社の防御がいくら堅くても、地域でサービスを運営するパートナーのセキュリティは別の組織が握っている。ブランド名と顧客接点はNVIDIAのものでも、データの保管場所と認証基盤はパートナー次第だ。

攻撃者は、最も弱い扉を探す。本社の正面玄関ではなく、提携先の裏口から入る。これが2026年の標準的な侵入経路になりつつある。

「自社は無傷」で済ませられるのか、という問い

NVIDIAの回答は、技術的には正しい。法的にも筋が通っている。Allianceパートナーは独立した事業者で、データ管理の責任はそちらにある。

ただ、利用者の視点に立つと話が変わる。アルメニアやジョージア、ウクライナのゲーマーがGFN.amにサインアップした時、彼らが信頼の対象として見ていたのは「GeForce NOW」というブランドだったはずだ。NVIDIAのロゴが入ったクライアントを起動し、NVIDIAのサーバーで動くGPUを使い、NVIDIAの名前で課金されるサービスに登録する。その背後にある運営主体が誰かを、利用者が事前に区別できる構造にはなっていない。

地域パートナー制度はビジネス上の合理性が高い。各国の規制対応、決済、通貨、言語サポートを地元事業者に任せることで、NVIDIAは最小限のコストでサービスを世界展開できる。その合理性はセキュリティ責任の分散と裏表の関係にある。ブランドは集中し、責任は分散する。利用者が見るのは前者だけだ。

GFN.amが今後どこまで詳細を公表するか、影響範囲の確定にどれだけ時間がかかるか、再発防止に何を実装するか。これらは現時点で全て未確定だ。NVIDIA本体は調査支援を表明しているが、最終的な対応の主体はGFN.amになる。

7カ国のユーザーが今すべきこと

GFN.am経由でGeForce NOWを使っていた、または過去に使っていたユーザーには、当面の自衛策がいくつかある。最大のリスクはパスワードの再利用だ。GFN.amで使っていたパスワードがSteamやEpic Games、メールアカウントと同じなら、全て個別に作り直す必要がある。

自衛のための優先順位は単純だ。パスワードの個別化、2FAをアプリかハードウェアキーへ、サポートを名乗る連絡を疑う、漏洩DBを定期確認する。この4点を押さえれば、流出データを使った攻撃の大半は防げる。

2FAの設定を確認することも欠かせない。SMSベースの2FAしか有効にしていないなら、認証アプリ（Google Authenticator、Authy等）かFIDO2対応のハードウェアキーへの切り替えを検討したほうがいい。SMSは最弱の防御であり、何もないよりはマシ、という程度の意味しか持たない。

そして、しばらくの間は「NVIDIAサポート」「GeForce NOW」を名乗る連絡を疑ってかかる構えが必要になる。電話やメールでパスワードや2FAコードを聞いてくる正規の窓口は存在しない。Have I Been Pwnedで自分のメールアドレスが新規の流出に含まれていないか、定期的にチェックする習慣も役に立つ。

ブランドの境界と、責任の境界

ShinyHuntersは2020年のTokopedia侵害で名を上げてから、Wattpad、ADT、Microsoft関連環境と標的を渡り歩いてきた。その手口は年を追うごとに洗練され、2026年に入ってからはサードパーティ経由の侵入が定石になっている。直接攻撃の難易度が上がった結果、攻撃者は迂回路を見つけたのではない。最初から、迂回路の方が安いと理解していただけだ。

NVIDIAの今回の対応は、企業として模範的な部類に入る。沈黙の期間は短く、声明は具体的で、責任の所在を明確にしている。ただし、それで終わる話ではない。アライアンスパートナーという制度を持つ全ての企業が、自社のブランドを背負う提携先のセキュリティ水準をどこまで監督できているか。問われているのはそちらの方だ。

7カ国のユーザーがGFN.amから通知を受け取り、パスワードを変えて、フィッシングを警戒する。それで一旦の幕は引かれる。それでも、似た構図の侵害は、また別のブランドの「隣の家」で起きる。

参照元

• NVIDIA Customer Help - GeForce NOW supported locations

他参照

• VideoCardz - NVIDIA confirms GeForce NOW partner security breach
• Google Cloud Blog - Tracking the Expansion of ShinyHunters-Branded SaaS Data Theft

関連記事

• ザラ19万7000人分流出、Anodot経由で侵害
• パスワードの48%が1分以内に解読される時代
• Chrome拡張108本がC2共有、Telegram乗っ取りも
• Booking.comが予約データ漏洩を認める、規模は伏せたまま
• Microsoft正規メールから届くフィッシング詐欺
• NVIDIAチップ密輸に日本経由の疑い
• 7-Elevenで18万人分の個人情報が流出、身代金拒否後に公開
• フォックスコン、北米工場サイバー攻撃を認める
• Linuxカーネルにキルスイッチ案、未修正脆弱性に対応
• Microsoft、パスキー全面移行へ パスワードと決別