Apple＆Amazonサーバーが中国人民解放軍の実働部隊にデータを盗むチップを仕込まれたとBloombergが報道、Apple・Amazonは完全否定

勉強の為に転載しました。
https://gigazine.net/news/20181005-apple-amazon-supermicro-hack/

「AppleとAmazonが、自社サーバーのマザーボードにデータを盗み出すチップを仕込まれた」とBloombergが報じました。チップを仕込んだのは中国人民解放軍の工作員だということで、大騒動になっています。

The Big Hack: How China Used a Tiny Chip to Infiltrate U.S. Companies - Bloomberg
https://www.bloomberg.com/news/features/2018-10-04/the-big-hack-how-china-used-a-tiny-chip-to-infiltrate-america-s-top-companies

The Big Hack: Amazon, Apple, Supermicro, and Beijing Respond - Bloomberg
https://www.bloomberg.com/news/articles/2018-10-04/the-big-hack-amazon-apple-supermicro-and-beijing-respond

AppleとAmazonがデータを不正に盗み出すチップを埋め込まれたのはSupermicro製のサーバー用マザーモード。Supermicroはアメリカの企業ですが、マザーボード自体は中国で製造されたもので、製造工程でチップを追加されたとBloombergは報じています。

Bloombergが信頼できる情報筋から得た情報によると、事件の端緒となったのはAmazon社内での調査だとのこと。2015年当時、AmazonはPrimeビデオなどのストリーミングサービスを拡大するために買収を検討していたElemental Technologiesについて、デューデリジェンスの中でセキュリティ調査を行いました。その結果、Elementalの動画圧縮用のサーバー内に奇妙なチップを発見したとのこと。

このSupermicroマザーボードに組み込まれた米粒大のチップは本来の設計にはないパーツで、AmazonはFBIに報告したとのこと。Elementalは国防総省のデータセンターやCIAのドローンシステム、海軍の艦船のネットワークに対してサーバーを納入していたことから、この件はアメリカの最高機密の捜査対象となり3年を経た今も捜査は継続中だとBloombergは述べています。

事情に詳しい複数の関係者によると、Supermicroマザーボードに組み込まれたチップは、ネットワークとシステムメモリの両方にアクセスできるとのこと。外部からの命令を受けるため特定のリモートシステムに接続し、実行中のOSを変更してパスワード検証などをバイパスすることで、攻撃者はサーバー内のデータにアクセスできるそうです。

問題のSupermicroマザーボード

チップやコンデンサーなどのパーツを取り除いていき……

基板のみになった状態。白い丸に囲まれた部分にチップが埋め込まれていたそうです。

問題の一つは、このチップがSupermicroマザーボードに組み込まれた経緯ですが、事情に詳しい複数の関係者によると、チップの埋め込みはマザーボード製造を担当した中国の下請け工場内で行われていたとのこと。2人の捜査関係者によると、チップは製造工程で中国人民解放軍の工作員らによって埋め込まれた疑いがあり、単なる企業からデータを盗み出すという目的を超えて、中国当局によるアメリカ企業へ仕掛けられた、これまでで最大のサプライチェーン攻撃の疑いが出てきています。

Bloombergは攻撃対象となったアメリカ企業は約30社だと述べていますが、その中でも事件のきっかけとなったAmazonと、Supermicroサーバーを大量に使用しているAppleがやり玉に挙げられています。ちなみにAppleは、少なくともデータセンターの1つのサーバーにセキュリティ上の問題が生じた結果、2016年初頭にSupermicroとの機器納入契約を打ち切ったと報じられていました。

名指しされたAppleはすかさず反論を出しています。「公開されたBloombergの記事は『AppleはFBIに事件を報告し、詳しい事情を把握している』と主張していますが、Bloombergに対しては2017年11月に『Appleはこの調査について耳にしたことがありません』と回答しており、FBIに報告した事実もこの種の事件について聞かされたこともありません。これまでBloombergに対して伝えてきた通り、これはまったくもって事実ではありません。Appleは悪質なチップを発見したことはありません」と完全に否定しています。

また、AWS(Amazon)もプレスリリースを出して、報道を明確に否定しています。

Setting the Record Straight on Bloomberg BusinessWeek’s Erroneous Article | AWS Security Blog
https://aws.amazon.com/jp/blogs/security/setting-the-record-straight-on-bloomberg-businessweeks-erroneous-article/

SupermicroもFBIへの調査協力に支障はないとしつつも、「我々はこの件に関していかなる調査も認識しておらず、また捜査機関からの連絡を受けていません」と疑惑を完全否定。

また、中国外務省も「中国はサイバーセキュリティの擁護者である。相互尊重、平等、相互利益の原則に基づき対話を通じてサイバーセキュリティの脅威に立ち向かうため、国際社会の協力を提唱している」と述べ、中国当局の関与を明確に否定しています。