Bloomberg-Bericht: Apple, Amazon und Co widersprechen Mini-Chip-Spionage
Einem Bericht von Bloomberg zufolge sind zahlreiche US-amerikanische Unternehmen von einem großangelegten, chinesischen Spionagefall betroffen – unter anderem Größen wie Amazon, Apple und Supermicro. Manipulierte Chips sollen direkt in die Fertigung der Server-Hardware bei Zulieferern von Supermicro eingeschleust worden sein.
Durch diesen, dem Bericht zufolge vom chinesischen Militär initiierten Angriff, sollen 30 große US-Unternehmen in ihren Rechenzentren auf manipulierte Server-Hardware von Supermicro gesetzt haben. Der Chip, der selbst nur so groß wie die Spitze eines Bleistifts ist und schon in der Fertigung der Mainboards bei Zulieferern von Supermicro verbaut worden sein soll, soll es Angreifern ermöglicht haben, Zugang zu den Netzwerken zu erlangen, Code zu laden und so den ein- und ausgehenden Datenverkehr zu manipulieren und mitzuhören. Bloomberg beruft sich auf umfangreiche Gespräche mit Regierungsvertretern und Quellen aus den betroffenen Unternehmen.
Spionage seit 2015 bekannt, Server getauscht
Bereits seit 2015 soll die US-Regierung diesen Vorfall untersuchen, der als Wirtschaftsspionage insbesondere das geistige Eigentum und Geschäftsgeheimnisse zum Ziel hatte. Apple soll dem Chip aufgrund von ungewöhnlichen Netzwerkaktivitäten auf die Spur gekommen sein. Amazon habe der US-Regierung nach Bekanntwerden die manipulierte Hardware zu Untersuchungszwecken bereitgestellt, Apple habe dies abgelehnt. Dem Bericht zufolge sollen knapp 30 Unternehmen, unter ihnen auch Regierungsdienstleister, Banken und Unternehmen mit großem Cloud-Angebot wie Amazon (AWS) und Apple (iCloud), von dem Angriff betroffen gewesen sein. Auch das US-Verteidigungsministerium und der CIA nutzten Server von Supermicro. Sowohl Apple als auch Amazon sollen die infiltrierte Hardware nicht mehr einsetzen und bereits 2016 ausgetauscht haben – was auch die Abkehr von Supermicro bei Apple im Jahr 2016 erklären würde. Apple soll rund 7.000 Server von Supermicro innerhalb weniger Wochen ausgetauscht haben.
Alle Hersteller streiten Spionage ab
Amazon, Apple und Supermicro streiten die Existenz der Spionagechips, chinesische Spionage und den geschilderten Hergang jedoch vehement ab. Amazon und Apple haben entsprechende Chips in den Servern nicht finden können, ließen beide Unternehmen verlauten. Supermicro wies die Anschuldigung, dass die Chips während der Fertigung integriert wurden, zurück.
We are deeply disappointed that in their dealings with us, Bloomberg's reporters have not been open to the possibility that they or their sources might be wrong or misinformed. Our best guess is that they are confusing their story with a previously reported 2016 incident in which we discovered an infected driver on a single Super Micro server in one of our labs. That one-time event was determined to be accidental and not a targeted attack against Apple.
Apple gegenüber CNBC
Datenklau nicht nachgewiesen
Nutzerdaten sollen im Rahmen der vermuteten Spionage nach bisherigen Erkenntnissen allerdings nicht gestohlen worden sein. So hätten die Untersuchungen zwar ergeben, dass die manipulierten Server immer wieder mit externen Servern Kontakt aufgenommen hätten, dabei aber keine Daten von den Unternehmen an diese übertragen haben.
Der Medienbericht sorgte an der Börse dafür, dass Supermicros Aktie am schwärzesten Tag seit dem Börsengang 2007 schnell um über 45 Prozent nachgab.
Sowohl Apple als auch Supermicro haben den Bericht von Bloomberg erneut zurückgewiesen. Apple veröffentlichte hierzu ein öffentliches Statement, in dem alle Behauptungen, dass man über derartige Chips in Servern informiert gewesen und diese sogar selbst entdeckt habe, als falsch zurückgewiesen werden. Apple habe demnach nie das FBI informiert und auch nie nachfolgende Untersuchungen an den Servern unterbunden, da diese nie vorgesehen waren. Von Apple nach der Kontaktaufnahme durch Bloomberg durchgeführte Untersuchungen hätten keine Spionage oder die beschriebenen Chips in den Servern nachgewiesen. All diese von Bloomberg im Bericht gemachten Behauptungen seien falsch, was man Bloomberg auch mehrfach im Vorfeld der Veröffentlichung mitgeteilt habe. Gleichzeitig unterliege Apple keiner Geheimhaltungspflicht durch die US-Regierung, die eine Bestätigung des Berichts verbieten würde.
Apple has never found malicious chips, “hardware manipulations” or vulnerabilities purposely planted in any server. Apple never had any contact with the FBI or any other agency about such an incident. We are not aware of any investigation by the FBI, nor are our contacts in law enforcement. [...]
Siri and Topsy never shared servers; Siri has never been deployed on servers sold to us by Super Micro; and Topsy data was limited to approximately 2,000 Super Micro servers, not 7,000. None of those servers have ever been found to hold malicious chips.
Apple
Auch Supermicro selbst äußerte sich gegenüber Robert McMillan vom Wall Street Journal und bestreitet jemals derartige Chips gefunden oder über sie informiert worden zu sein.
Supermicro has never found any malicious chips, nor been informed by any customer that such chips have been found... Supermicro has never been contacted by any government agencies either domestic or foreign regarding the alleged claims.
Supermicro
Auch Amazon Web Services (AWS) hat sich zu dem Bericht von Bloomberg Businessweek geäußert und ComputerBase eine Stellungnahme zukommen lassen. Auch AWS äußert sich dabei wie zuvor Apple und Supermicro zurückweisend und stellt klar, niemals derart modifizierte Server ausfindig gemacht zu haben. Auch AWS habe Bloomberg mehrfach mitgeteilt, dass die Behauptungen falsch seien. Darüber hinaus hat sich auch Steve Schmidt, Chief Information Security Officer von AWS, in einem Blogbeitrag zu dem Bericht von Bloomberg geäußert.
Zu keinem Zeitpunkt, in der Vergangenheit oder aktuell, haben wir jemals Probleme im Zusammenhang mit modifizierter Hardware oder schädlichen Chips in SuperMicro-Motherboards in Elemental- oder Amazon-Systemen gefunden. Darüber hinaus haben wir keine Ermittlung mit der Regierung eingeleitet. Dies haben wir Bloomberg Businessweek mehrfach in den letzten Monaten mitgeteilt.
Ein Sprecher von AWS
Wie Bloomberg auf die eindeutigen und heftigen Zurückweisungen durch alle beteiligten Hersteller reagiert, bleibt nun abzuwarten.