Uma grande empresa de telecomunicações dos Estados Unidos descobriu hardware manipulado da Supermicro Computer em sua rede e removeu em agosto deste ano. Esta é a mais nova evidência de adulteração na China de componentes críticos de tecnologia destinados aos EUA, de acordo com um especialista em segurança que trabalha para a empresa de telecomunicações e que contou à revista Bloomberg Businessweek.
O especialista em segurança, Yossi Appleboum, forneceu documentos, análises e outras evidências da descoberta após a publicação de uma extensa reportagem investigativa feita pelos jornalistas Jordan Robertson e Michael Riley, que detalhava como os serviços de inteligência da China haviam ordenado aos subcontratantes que instalassem chips maliciosos nas placas-mãe do servidor feitos pela Supermicro durante um período de dois anos, tendo encerrado em 2015.
Appleboum trabalhou anteriormente na unidade de tecnologia do Corpo de Inteligência do Exército de Israel e é agora codiretor executivo da Sepio Systems. Sua empresa é especializada em segurança de hardware e é contratada para varrer vários grandes centros de dados pertencentes à empresa de telecomunicações.
A Bloomberg não pode identificar a empresa hackeada devido ao acordo de não divulgação entre Sepio e o cliente. Comunicações incomuns de um servidor Supermicro e uma inspeção física subsequente revelaram um implante embutido no conector Ethernet do servidor, um componente usado para conectar cabos de rede ao computador, disse Appleboum.
Impossível de encontrar a fonte
O executivo disse ter visto manipulações semelhantes de hardware de computadores de fornecedores diferentes feitos por empreiteiros na China, não apenas produtos da Supermicro. “Supermicro é uma vítima”, afirmou Appleboum. Ele também disse que sua preocupação é que existam inúmeros pontos na cadeia de suprimentos na China onde as manipulações podem ser introduzidas, e deduzi-las pode, em muitos casos, ser impossível.
A resposta da Supermicro
Depois do lançamento da reportagem feita pela Bloomberg Businessweek, a Supermicro fez esta declaração: “A segurança de nossos clientes e a integridade de nossos produtos são essenciais para nossos valores comerciais e de nossa empresa. Temos o cuidado de garantir a integridade de nossos produtos durante todo o processo de fabricação, e a segurança da cadeia de suprimentos é um importante tópico de discussão para nossa indústria. Ainda não temos conhecimento de nenhum componente não autorizado e não fomos informados por nenhum cliente que tais componentes foram encontrados. Estamos consternados de que a Bloomberg nos fornecesse apenas informações limitadas, nenhuma documentação e meio dia para responder a essas novas alegações”.
A Bloomberg, por outro lado, disse que contactou a empresa na última segunda-feira, pela manhã, e deu à Supermicro 24 horas para responder.
A Supermicro disse após a reportagem anterior que “refuta fortemente” os relatórios de que os servidores vendidos a clientes continham microchips maliciosos. A embaixada da China em Washington não retornou um pedido de comentários na segunda-feira. Em resposta à investigação anterior da Bloomberg Businessweek, o Ministério das Relações Exteriores da China não abordou diretamente questões sobre a manipulação de servidores da Supermicro, mas disse que a segurança da cadeia de fornecimento é “uma questão de preocupação comum, e a China também é uma vítima”.
Acesso invisível
A manipulação mais recente é diferente da descrita no relatório da Bloomberg Businessweek na semana passada, mas compartilha características principais: ambas são projetadas para fornecer aos invasores acesso invisível aos dados em uma rede de computadores na qual o servidor está instalado; e as alterações foram feitas na fábrica já que a placa-mãe estava sendo produzida por um subcontratante da Supermicro na China.
Com base em sua inspeção do dispositivo, a Appleboum determinou que o servidor da empresa de telecomunicações foi modificado na fábrica.
Operadoras
O porta-voz da AT&T, Fletcher Cook, disse: “Esses dispositivos não fazem parte da nossa rede e não são afetados”.
Já um porta-voz da Verizon afirmou que “não fomos afetados”.
“A Sprint não possui equipamentos Supermicro implantados em nossa rede”, disse Lisa Belot, porta-voz da Sprint.
A T-Mobile não respondeu a pedidos de comentários.
