Apple y Amazon niegan conocimiento de servidores comprometidos Chinos

Departamento de Seguridad Nacional de EEUU

Luego del informe de Bloomberg Businessweek de la semana pasada que decía que los espías chinos se infiltraron en los servidores comerciales de Estados Unidos con microchips ocultos, el Departamento de Seguridad Nacional (DHS por sus siglas en inglés Department of Homeland Security) dice que «no hay razón para dudar de las declaraciones de las compañías nombradas en la historia«.

Declaraciones de las empresas involucradas

«Es falso que AWS (Amazon Web Services, servicio de hospedaje en la nube de Amazon) supiera sobre una cadena de suministro comprometida, un problema con chips maliciosos o modificaciones de hardware al adquirir Elemental. También es falso que AWS supiera sobre los servidores que contienen chips maliciosos o modificaciones en centros de datos con sede en China, o que AWS trabajó con el FBI para investigar o proporcionar datos sobre hardware malicioso.

Hemos revisado nuevamente nuestros registros relacionados con la adquisición de Elemental para verificar cualquier problema relacionado con SuperMicro, incluyendo la revisión de una auditoría de seguridad de terceros que realizamos en 2015 como parte de nuestro proceso de ‘diligencia debida’ antes de la adquisición. No hemos encontrado pruebas que respalden las afirmaciones de chips maliciosos o modificaciones de hardware.» – Amazon

«En el transcurso del año pasado, Bloomberg nos contactó varias veces con reclamos, a veces imprecisos y en ocasiones complejos, de un supuesto incidente de seguridad en Apple. En cada ocasión hemos realizado investigaciones internas rigurosas basadas en sus investigaciones y ninguna ocasión hemos encontrado alguna evidencia que respalde ninguno de sus reclamos. En el expediente, hemos ofrecido respuestas repetidas y sistemáticamente objetivas que refutan prácticamente todos los aspectos de la historia de Bloomberg relacionados con Apple.

. . .

En esto podemos ser muy claros: Apple nunca ha encontrado chips maliciosos, «manipulaciones de hardware» o vulnerabilidades plantadas a propósito en ningún servidor. Apple nunca tuvo contacto con el FBI ni con ninguna otra agencia sobre tal incidente. No tenemos conocimiento de ninguna investigación por parte del FBI, ni nuestros contactos en la aplicación de la ley.» – Apple

«Si bien cooperaríamos con cualquier investigación gubernamental, no tenemos conocimiento de ninguna investigación relacionada con este tema ni ninguna agencia gubernamental nos ha contactado al respecto. No tenemos conocimiento de ningún cliente que haya eliminado a Supermicro como proveedor a partir de este problema.

. . .

Además, Supermicro no diseña ni fabrica chips de redes ni el firmware asociado, y nosotros, al igual que otras compañías líderes de servidores / almacenamiento, los adquirimos de las mismas compañías líderes de redes.» – Supermicro

La declaración coincide con lo que dijeron los funcionarios de ciberseguridad del Reino Unido el viernes: que estaban al tanto de los informes, pero no tenían ninguna razón para dudar de las enérgicas negativas de Amazon y Apple de que sus sistemas estaban comprometidos. El DHS señala que está al tanto del informe y dijo que recientemente lanzó varias «iniciativas gubernamentales e industriales para desarrollar soluciones a corto y largo plazo para administrar el riesgo que plantean los complejos desafíos de las cadenas de suministro cada vez más globales«.

La semana pasada, el informe de Bloomberg Businessweek citó a actuales y antiguos funcionarios de inteligencia de los Estados Unidos, quienes afirmaron que espías chinos trabajaron para colocar microchips en los servidores, permitiéndoles acceso a los sistemas. El informe afirma que Apple y Amazon descubrieron los microchips y los informaron a las autoridades estadounidenses. Pero ambas compañías han negado la historia. Los expertos en seguridad cibernética han advertido que tal amenaza existe y que podría ser difícil de contrarrestar. Pero a raíz de la publicación del informe, el escepticismo se ha ido acumulando a medida que las compañías involucradas y las agencias gubernamentales han rechazado sus acusaciones.

Adaptación de un artículo publicado originalmente en: The Verge