Bijna 30 Amerikaanse bedrijven, waaronder Apple en Amazon, worden al jaren bespioneerd door China via een minichip ter grote van een rijstkorrel, meldt Bloomberg Businessweek. Apple en Amazon ontkennen het allebei. Bloomberg Businessweek onderbouwt zijn verhaal echter gedetailleerd.
In evenzeer gedetailleerde verklaringen beweren Apple en Amazon dat noch de mysterieuze “super-chip”, noch enig ander bewijs van spionage is gevonden.
Volgens Bloomberg Businessweek werd de Chinese hardware al in 2015 ontdekt. Veiligheidsdeskundigen van Amazon en een bedrijf van derden zouden de chip ter grootte van een rijstkorrel op de serverhardware van de leverancier Super Micro hebben gevonden.
Bijna 30 Amerikaanse bedrijven zouden zijn getroffen, Amazon en Apple zouden de componenten ook hebben gebruikt.
Opschudding bij Amerikaanse autoriteiten
De ontdekking is gemeld aan de Amerikaanse autoriteiten en heeft tot grote opschudding geleid, meldt Bloomberg.
Het is volgens Bloomberg Businessweek duidelijk dat de chips moeten worden beschouwd als een achterdeurtje voor spionage uit China.
Verdachte Chinezen leveren aan 900 klanten in 100 landen
Het is aannemelijk dat de ‘rijstkorrelchip’ niet alleen voor spionage in Amerikaanse bedrijven wordt gebruikt.
Volgens Bloomberg had Super Micro drie jaar geleden meer dan 900 klanten in 100 landen.
Over de dimensie van de vermeende ontdekking vertelde een beveiligingsexpert aan de dienst: “Het aanvallen van Super Micro moederborden is als het hacken van Microsoft Windows. Het is als het aanvallen van de hele wereld.”
Amazon en Apple ontkennen scherp
Amazon en Apple ontkennen de spionagebeschuldigingen ongewoon scherp en gedetailleerd. Beide bedrijven ontkennen dat er ooit een dergelijke aanval is geweest.
Apple legde uit dat ze nog nooit zo’n “Super Micro Chip” in hun eigen hardware hadden gevonden.
Het bedrijf zegt ook nooit contact opgenomen te hebben met de FBI over een dergelijk incident en de veiligheidsinstanties hebben ook nooit contact opgenomen met de groep over een dergelijk incident.
Apple zegt aan onderzoeksreportage Bloomberg te hebben meegewerkt
Bovendien benadrukt de onderneming dat zij met Bloomberg heeft meegewerkt en dat al het beweerde bewijsmateriaal ongeldig is verklaard.
In het controversiële rapport staat daarentegen dat Apple in mei 2015 ongewone netwerkactiviteiten en firmwareproblemen heeft onderzocht en de Chinese chip heeft ontdekt.
Het feit dat Apple op de beschuldigingen van Bloomberg reageert met een eigen boodschap in de redactieruimte is uniek tot nu toe.
De reactie van Amazon op het artikel is zeer vergelijkbaar. De groep beweert dat het artikel op zoveel punten “onnauwkeurig” is dat het moeilijk is om ze allemaal op te sommen.
Bloomberg heeft nog niet gereageerd op deze opmerkingen.
In het kader van privacybeleid lijkt het voorlopig verstandig om geen Amazon Echo of Google Home spraakassistent op kantoor te plaatsen. Amerikaanse onderzoekers hebben namelijk een nieuwe techniek ontdekt waarmee de spraakassistent gehackt kan worden: Voice Squatting.
Met deze hackmethode kunnen Google Home of Amazon Echo geprogrammeerd worden om als stille spion alles wat er in de directe omgeving wordt gezegd af te luisteren of phishingaanvallen uit te voeren.
Verborgen commando’s in muziek
Eerder lieten onderzoekers van de Universiteit van Californië zien hoe ze verborgen commando’s konden integreren in muziekopnames of gesproken tekst om vervolgens acties uit te voeren op een Amazon Echo.
Voice Squatting werd ontdekt door een groep onderzoekers van de Indiana University, Bloomington, de Universiteit van Virginia en de Chinese Academie van Wetenschappen.
Geheime opnamefunctionaliteit
Om geheime opnamefunctionaliteit toe te voegen, gebruikten de academici de “reprompt”-functie. Deze functie zorgt ervoor dat een vaardigheid kan blijven draaien wanneer deze geen antwoord ontvangt, zolang de gebruikers hiervan op de hoogte worden gesteld via een audio- of tekstbestand.
De onderzoekers misbruikten dit door een lang, stil audiobestand te maken als een reprompt, zodat de gebruiker geen merkbare waarschuwing zou krijgen dat de microfoon nog aan het opnemen was.
Phishingaanval via Google Home of Amazon Echo
De spraakassistent zou ook via spraakcommando’s kunnen worden geprogrammeerd om phishing-aanvallen uit te voeren. Google Home of Amazon Echo kunnen dan doen alsof ze een bankdienst uitvoeren en gebruikers vragen om hun wachtwoord door te geven.
Reacties Google en Amazon
Zowel Amazon als Google zeggen dat ze al beveiliging hebben die kwaadaardige vaardigheden proberen op te sporen.
De onderzoekers hebben hun ontdekking in april aan zowel Amazon als Google voorgelegd.
Ze zijn sceptisch of er momenteel echt effectieve beveiligingsmaatregelen zijn. “We weten dat Amazon en Google zich niet tegen de aanvallen konden verdedigen toen we onze studie aan hen rapporteerden en we weten niet zeker of ze dat nu wel kunnen”, aldus onderzoeker XiaoFeng Wang van de Indiana University.
Het kabinet heeft besloten dat overheidsinstanties geen gebruik meer mogen maken van de russische antivirussoftware van Kaspersky. De regering vreest dat dit programma door het Kremlin gebruikt wordt voor spionagedoeleinden. Minister Ferdinand Grapperhaus van Justitie en Veiligheid adviseert het Nederlandse bedrijfsleven eveneens over te stappen op antivirussoftware van een ander merk.
De minister verwijst naar Russische wetgeving die bedrijven uit het land verplichten om de Russische inlichtingendiensten te ondersteunen als zij daarom vragen.
Kaspersky heeft eerder verklaard dat het bedrijf “geen enkele overheid helpt, of zal helpen, bij offensieve inspanningen in het digitale domein.”
Antivirussoftware heeft diepgaande toegang tot ict-systemen om computervirussen te bestrijden.
In Nederland zijn nog geen gevallen van russische spionage bekend via software van Kaspersky Lab.
Volgens The New York Times zouden Russische staatshackers de antivirussoftware van Kaspersky Lab wel gebruikt hebben om te spioneren in de Verenigde Staten.
Eugene Kaspersky, oprichter van het bedrijf, heeft banden met het Kremlin altijd ontkend.
