Polémica entre Apple y un artículo que Bloomberg ha lanzado recientemente fruto de una profunda investigación. Según ésta, una compañía llamada Elemental Technologies habría sido descubierta introduciendo unos minúsculos chips en servidores manufacturados por SuperMicro en China. Esos chips permetirían intrusiones en los servidores y dispositivos en los que se encuentren.
Apple es uno de los clientes que habría adquirido esos servidores de SuperMicro, esporádicamente primero y después más intensamente tras adquirir la compañía Topsy en 2013. Sólo en el año siguiente, Apple habría adquirido 6.000 de esos servidores para colocarlos en 17 de sus centros de datos. En 2015 el número de servidores habría aumentado a 20.000, pero para cuando el problema del chip se encontró con una serie de auditorías se habría reducido a 7.000. Ahora bien: Apple ha desmentido que esos chips estén entre los servidores que utiliza.
Puede que ni siquiera lo veas, pero el chip que no debería estar en esa placa es diminuto. Lo tienes en el centro del círculo blanco en esta fotografía de Bloomberg.
El problema es grave. Sólo hace falta que esos chips se encuentren en instalaciones gubernamentales para que la brecha de seguridad que se haya abierto tenga consecuencias enormes. Al parecer, los servidores Amazon (que sirven a multitud de compañías) también podrían tener ese chip escondido en sus servidores. Insistimos que se trata de una investigación de Bloomberg que Apple ha puesto en duda.
Se trataría de un hack mediante hardware, mucho más problemático que un ataque por software que se pueda parchear a distancia y masivamente mediante una actualización del sistema. Tener un hardware malicioso implica que hay personas implicadas en "adulterar" la fabricación de placas y chips en las fábricas y en todo el proceso logístico de los componentes. Y solucionar eso es mucho más difícil.
Apple lo desmiente todo y corrige con datos propios a Bloomberg
Sin embargo, Apple ha negado tajantemente que haya habido esta brecha de seguridad en los servidores que utiliza en un comunicado a Bloomberg. Desmiente que haya trabajado con el FBI al respecto, y asegura que en sus múltiples auditorías de seguridad que se han realizado durante años no han encontrado ningún "chip intruso" en sus servidores. La compañía también contradice las cifras que da Bloomberg, reduciendo de 7.000 a 2.000 los servidores de SuperMicro que hay en sus centros de datos.
He aquí la carta íntegra traducida, en el que llega incluso a mostrar decepción respecto a Bloomberg por "no haber considerado que sus fuentes pueden estar equivocadas":
En el transcurso del último año, Bloomberg nos ha contatado en múltiples ocasiones con afirmaciones, a veces vagas y otras más elaboradas, de un supuesto incidente de seguridad en Apple. En cada caso, hemos realizado investigaciones internas rigurosas basadas en sus investigaciones y en todos ellos no hemos encontrado ninguna evidencia en absoluto para apoyar ninguno de ellos. Hemos ofrecido respuestas basadas en los hechos de manera repetida y consistente, de manera oficial, refutando virtualmente todos los aspectos de la historia de Bloomberg en relación con Apple.
Sobre esto, podemos ser muy claros: Apple nunca ha encontrado chips maliciosos, “manipulaciones de hardware” o vulnerabilidades instaladas a propósito en ningún servidor. Apple nunca ha tenido contacto con el FBI o cualquier otra agencia sobre un incidente de estas características. No estamos al corriente de ninguna investigación del FBI, ni tampoco nuestros contactos en las agencias y cuerpos de seguridad.
En respuesta a la última versión de la narrativa de Bloomberg, presentamos los siguientes hechos: Siri y Topsy jamás compartieron servidores; Siri nunca se ha desplegado en servidores cuya venta procede de Super micro; y los datos de Topsy estaban limitados a aproximadamente 2.000 servidores de Super Micro, no 7.000. Jamás se han encontrado chips maliciosos en ninguno de esos servidores.
De manera rutinaria, antes de que los servidores son colocados en producción en Apple son inspeccionados en busca de vulnerabilidades de seguridad y actualizamos todo firmware y software con las últimas protecciones. No descubrimos ningún tipo de vulnerabilidad en los servidores que compramos a Super Micro cuando actualizamos el firmware y software de acuerdo con nuestros procedimientos estándar.
Estamos profundamente decepcionados de que en sus interacciones con nosotros, los reporteros de Bloomberg no han estado abiertos a la posibilidad de que sus fuentes estuvieran mal informadas o equivocadas. Nuestra mejor suposición es que están confundiendo su historia con un incidente previo y ya informado de 2016, donde encontramos un Driver infectado en un único servidor de Super Micro en uno de nuestro laboratorios. Ese suceso único se determinó que fue de naturaleza accidental y no un ataque dirigido a Apple.
Aunque no se afirma que haya habido datos de clientes involucrados, nos tomamos estas alegaciones seriamente y queremos que nuestros usuarios sepan que hacemos todo lo posible por salvaguardar la información personal que nos confían. También queremos que sepan que lo que está informando Bloomberg acerca de Apple es erróneo.
Apple siempre ha creído en ser transparente acerca de las formas en que manejamos y protegemos los datos. Si en algún momento hubiera habido un evento como el que Bloomberg afirma que sucedió, seríamos comunicativos al respecto y trabajaríamos con las fuerzas de seguridad. Los ingenieros de Apple realizan monitorizaciones de seguridad rigurosas y regulares para asegurar de que nuestros sistemas son seguros. Sabemos que la seguridad es una carrera sin fin y es por eso por lo que estamos constantemente fortificando nuestros sistemas contra hackers y cibercriminales cada vez más sofisticados que quieren robar nuestros datos.
¿Estamos los usuarios afectados?
En el hipotético caso de que ese chip rebelde esté en los servidores que usa Apple (repetimos: la compañía lo ha negado), los usuarios generales no estaríamos afectados. No directamente, al menos. La intención usual de esos hardware hacks es la de obtener secretos industriales, espiar los métodos logísticos y de fabricación de Apple para sacar ventajas de ello.
Por lo tanto no te preocupes, porque ni siquiera en el peor de los casos nadie estaría intentando ver los datos personales que tienes almacenados en iCloud. Esperemos que se llegue a la raíz de este problema lo antes posible.
Imagen | Frankie Leon
Ver 22 comentarios