Un chip cinese usato per spiare le aziende USA più importanti: scoop o fake?

Bloomberg Businessweek, nota e autorevole rivista settimanale di economia d’Oltreoceano, ha pubblicato quello che sembra uno scoop in piena regola.
In copertina c’è un dito e sulla punta quello che sembra un piccolo componente elettronico, giusto per dare un’idea delle sue ridottissime dimensioni.

Secondo i reporter di Bloomberg Businessweek 30 aziende statunitensi “di grosso calibro”, molte delle quali multinazionali, si sarebbero rifornite di server che utilizzano schede madri a marchio Super Micro – società cinese con “quartier generale” in California che è oggi tra i principali produttori al mondo di hardware per sistemi server, workstation, GPU e sistemi di storage – contenenti un “chip spione”.

Tale chip, proprio quello ritratto nella foto, conterrebbe le funzionalità sufficienti per interferire con il flusso di dati gestiti dalla motherboard e attivare backdoor in hardware.
Bloomberg Businessweek rivela che aziende come Apple e Amazon avrebbero utilizzato per anni schede madri con il chip “spione”. Dal 2015 sarebbero addirittura in corso verifiche da parte dell’FBI.

Il Washington Post conferma che un esponente dell’intelligence statunitense avrebbe confermato, proprio questa mattina, l’accuratezza del resoconto pubblicato da Bloomberg Businessweek. La fonte del Washington Post non viene citata perché sarebbe stato espressamente richiesto di mantenere l’anonimato sulla sua identità.

Lo scoop di quest’oggi denuncia una serie di falle nella catena di distribuzione (supply chain) per ciò che riguarda alcuni esemplari di schede madri Super Micro. Nei passaggi che separano la catena produttiva dalla consegna del prodotto al cliente finale, qualcuno – con un’ottima conoscenza della struttura delle motherboard – ne avrebbe di fatto modificato il funzionamento aggiungendo il minuscolo chip.

Il fatto è che tutte le aziende chiamate in causa negano l’esistenza di qualsivoglia problema. Come si può leggere in questa pagina, che raccoglie le prese di posizione di Super Micro, Apple e Amazon, oltre che del governo cinese, Amazon bolla come false le notizie che fanno riferimento a una supply chain compromessa, che indicano l’azienda come consapevole del problema e di un’ipotetica collaborazione del team di AWS con gli agenti e i consulenti dell’FBI.
Amazon tiene a precisare di non aver rinvenuto alcun chip malevolo nell’hardware utilizzato.

Anche Apple rigetta in toto le informazioni pubblicate da Bloomberg e chiarisce di non aver mai rilevato chip malevoli, modifiche hardware o altre vulnerabilità appositamente impiantate nei suoi server. L’azienda, inoltre, non ha mai contattato l’FBI a proposito di queste problematiche né è a conoscenza di alcun tipo di indagine.

Il commento di Super Micro è molto simile: l’obiettivo è quello di sgomberare il campo da qualunque equivoco e ribadire l’azione di controllo costante che viene esercitata dall’azienda, anche sulla supply chain.

Dopo una simile levata di scudi, a questo punto la palla torna a Bloomberg Businessweek che è esplicitamente accusata di non aver adeguatamente verificato le fonti e di aver montato uno scoop sul nulla: sarà interessante monitorare l’evolversi degli eventi nel corso dei prossimi giorni.

Le dimensioni infinitesimali del chip cui fa riferimento Bloomberg Businessweek non devono trarre in inganno perché non è dato sapere quali funzionalità della scheda possa essere sfruttate. Semmai viene da chiedersi come, nell’eventualità in cui il chip esista davvero, nessuno si sia accorto del traffico anomalo. Certamente un ipotetico chip come quello di cui stiamo parlando potrebbe fare uso di una rete serverless ma non aver rilevato nulla per un lungo periodo di tempo pare onestamente quasi impossibile, considerata la struttura delle aziende citate.
Non sarà forse la supply chain che ha portato Bloomberg Businessweek a formare il suo articolo ad aver avuto qualche problema? Chissà. È ancora troppo presto per dirlo.

Un esperto sostiene di aver trovato un chip sospetto su una scheda madre Super Micro fornita a un operatore di telecomunicazioni USA (Aggiornamento del 9 ottobre 2018)

Bloomberg non ci sta e prova a dare maggiore consistenza alle affermazioni pubblicate nel “report-bomba” di qualche giorno fa.
Yossi Appleboum, un esperto in materia di sicurezza informatica che prima “militava” nelle fila dell’intelligence israeliana ed oggi riveste il ruolo di chief executive officer presso Sepio Systems – stando a quanto rivelato oggi dalla testata d’Oltreoceano – avrebbe fornito una serie di conferme.

Appleboum, nella sua attività di consulenza presso una famosa azienda di telecomunicazioni statunitense, avrebbe presenziato al rinvenimento di un chip sospetto all’interno del controller Ethernet presente su una scheda madre Super Micro.
L'”impianto” sarebbe stato scoperto su una motherboard venduta alla società di telecomunicazioni USA.

L’esperto non traccia alcun collegamento con Amazon ed Apple ma chiama nuovamente in causa Super Micro, produttore che era stato citato nel reportage originale di Bloomberg. I giornalisti della testata rivelano di aver ricevuto da Appleboum le prove che confermano il rinvenimento del chip cinese ma hanno preferito non pubblicare nulla. Almeno per il momento.

Anche il nome del provider USA coinvolto nella scoperta del chip “spione” non è stato reso pubblico in forza di un “accordo di segretezza” che è stato firmato dallo stesso Appleboum.

C’è ancora grande scetticismo anche perché lo stesso Joe Fitzpatrick, una delle fonti che Bloomberg ha utilizzato per il report iniziale – duramente criticato da tutte le aziende citate – ha affermato che le modalità con cui la sua intervista è stata resa sono “sospette”.