AppleとAmazon、「サーバーへの中国製スパイチップ搭載」報道を否定――米サプライチェーン侵入事件の全貌

今月初め、Bloomberg(ブルームバーグ)が衝撃的な調査報道を発表しました。それによると、AppleやAmazonをはじめとする米国の大手企業約30社(大手銀行や政府請負業者を含む)が使用していたコンピューターサーバーのハードウェアに、中国によって仕掛けられたスパイチップが埋め込まれていたというのです。「The Big Hack: How China Used a Tiny Chip to Infiltrate US Companies」と題されたこの記事は、米粒ほどの小さなチップを用いて米国のテクノロジーサプライチェーン全体が侵害された経緯を明らかにしました。

問題のサーバーは、カリフォルニア州サンノゼに拠点を置き、世界最大級のサーバーマザーボード・チップ・コンデンサーサプライヤーであるSuper Micro(スーパーマイクロ)社によって組み立てられたものでした。不審な中国製スパイチップはサーバーのマザーボード上に隠されていましたが、本来の設計には含まれていない部品でした。

調査の結果、これらのチップによってハッカーは、対象マシンが接続されているネットワークへのステルス型バックドアを作り出せることが判明しました。報道によれば、チップは中国国内の製造下請け工場で挿入されたとみられています。

Bloombergは、今回の攻撃は過去のセキュリティ侵害よりも深刻だとして警鐘を鳴らしています。私たちが普段目にする攻撃のほとんどはソフトウェアベースですが、今回はハードウェアベースです。ソフトウェア攻撃がより一般的なのは、遠隔接続を通じてバグを送り込む方が、ハードウェアに細工を施したりスパイチップを隠したりするよりも容易だからです。ハードウェア攻撃は実行難度が非常に高い一方で、その影響はより壊滅的で、長期に及びます。

さらに懸念されるのは、企業スパイ活動にとどまらない影響です。チップが見つかったとされるサーバーは、国防総省やCIAのドローン作戦、海軍の軍艦などでも利用されていたため、事実であれば米軍や法執行機関にも深刻な脅威となり得ます。

業界の反応

Bloombergの報道によると、Appleの幹部は2015年夏にチップを発見し、FBIへ報告したものの、詳細は公表しないままにしていたといいます。そして発見から1年後、AppleはSuper Microとの取引を打ち切り、自社データセンターから同社製サーバー7,000台すべてを撤去したとされます。

しかしAppleは、メディア向けに発表した声明の中でこうした報道を全面的に否定し、「自社のサーバーにスパイチップが存在したことを示す証拠は一切ない」と述べました。Appleによると、Bloombergは過去1年間にわたり何度もセキュリティインシデントに関する主張を持ちかけてきたといいます。各問い合わせに基づいて社内調査が実施されましたが、Appleは「いずれの主張を裏付ける証拠も一切見つかっていない」と強調しています。

声明では、中国製スパイチップ、ハードウェアの改ざん、意図的に仕込まれた脆弱性はいずれも発見されなかったことが明言されました。また同社は、本件についてFBIやその他の法執行機関に連絡したこともないと否定しています。

AppleはBloombergの報道に失望を表明し、同メディアが本件を、2016年に自社ラボ内のSuper Micro製サーバー1台で感染ドライバーが見つかった過去のセキュリティ問題と混同した可能性があると説明しました。

Amazonも同様に報道を否定し、Bloombergの記事には「数多くの不正確な記述がある」と述べました。Amazon Web Services(AWS)の最高情報セキュリティ責任者であるSteve Schmidt氏が発表した声明は以下の通りです。

「当社はElementalのサーバーにおいても、自社データセンター内のいかなるサーバーにおいても、改ざんされたハードウェアや悪意のあるチップを発見したことは一度もありません。」

Elementalとは、Amazonが買収を検討していたテックスタートアップで、悪意のあるチップが「発見された」とされた場所です。

さらに、Appleの情報セキュリティ担当バイスプレジデントであるGeorge Stathakopoulos氏も別の声明の中で、Bloombergの中国製スパイチップに関する報道は、同社が主張するような17の裏付けソースに基づくものではなく、単一の情報源によるものだと指摘しました。

一方、Bloomberg側は報道内容の真実性を堅持する姿勢を崩していません。

消費者への影響

この一連の騒動は、一般の消費者にどのような関係があるのでしょうか。この問題が重要視されるのは、Appleなどの企業のセキュリティが、消費者のデータ保護に直結しているからです。仮に報道が事実であれば、これらの悪意あるチップを通じてAppleユーザーのデータが漏洩する恐れもあったことになります。

消費者としてできることは限られていますが、少なくとも自分のデータを確実に保護することは大切です。パソコンから機密情報を抜き取られるリスクを減らす方法の一つは、Outbyte macAriesのようなアプリを活用して、不要ファイルやジャンクデータを完全に削除しておくことです。あなたがゴミだと思っているファイルから、ハッカーが何を掘り起こすかは誰にも分かりません。

Amazonユーザーも同様にリスクにさらされています。特に金融情報の扱いには注意が必要です。アンチウイルスやマルウェア検出ソフトだけでは、この種の高度な攻撃から身を守るには不十分です。暗号化されたVPN接続を利用し、金融データを攻撃者から隠蔽することを検討しましょう。

重要なのは、Bloombergの記事が真実かどうかという議論ではありません。本当に問われるべきは、私たちがこの種の攻撃に対して備えられているのかどうかです。