Supermicro : Bloomberg affirme que des serveurs d’un opérateur américain ont été altérés

En fin de la semaine dernière, nos confrères ont publié un long papier expliquant comment les Chinois auraient ajouté une micropuce espionne sur des cartes mères Supermicro. Impliquées dans cette affaire, Amazon, Apple et Supermicro ont toutes les trois démenti ces accusations avec vigueur, soutenues par les renseignements américains et britanniques.

Hier, Bloomberg a lancé un nouveau pavé dans la mare dans un papier intitulé « nouvelle preuve de piratage de matériel Supermicro chez un opérateur américain ». Nos confrères expliquent que Yossi Appleboum (co-DG de Sepio Systems) leur a fourni des documents pour étayer leurs dires. Le matériel « manipulé » aurait été enlevé en août de cette année. Le nom de cet opérateur n'est pas précisé.

La situation n'est pas tout à fait identique, mais le principe reste le même : « des communications inhabituelles depuis un serveur Supermicro et une inspection physique ultérieure ont révélé un implant intégré dans le connecteur Ethernet du serveur » explique Bloomberg.

Yossi Appleboum affirme que ce n'est pas la première fois qu'il découvre ce genre de manipulation sur du matériel fabriqué par des sous-traitants en Chine, ajoutant que « Supermicro est une victime » dans cette histoire.

Interrogée, la société reste sur ses positions précédentes : « Nous ne sommes toujours pas au courant de composants non autorisés et n’avons été informés par aucun client de la présence de tels composants ».

Elle charge à nouveau Bloomberg : « Nous sommes consternés que Bloomberg ne nous fournisse que des informations partielles, aucune documentation et une demi-journée pour répondre à ces nouvelles allégations », ce à quoi notre confrère affirme avoir laissé 24h à Supermicro.

L'enquête continue outre-Atlantique, notamment par l'intermédiaire du sénateur John Thune siégeant au Comité du commerce qui sollicite auprès des dirigeants des entreprises impliqués un briefing avant le 12 octobre : « Les allégations selon lesquelles la chaîne d'approvisionnement en matériel informatique des États-Unis a été délibérément altérée par une puissance étrangère doivent être prises au sérieux ».

Les sénateurs Marco Rubio (républicain) et Richard Blumenthal (démocrate) ont de leur côté demandé à Supermicro des précisions sur la manière dont la société avait enquêté sur les affirmations de Bloomberg.

George Stathakopoulos, responsable sécurité chez Apple, reste sur la ligne de défense de la société affirmant qu'elle n'a découvert aucun signe de transmission suspecte ni aucune autre preuve d'altération du matériel.

Joe Fitzpatrick, expert cité dans le premier article de Bloomberg, revient sur cette histoire dans le Risky Business podcast, comme le rapporte Engadget. Il affirme avoir été cité hors contexte, que l'histoire de la puce espionne était alors « théorique » et qu'il se sentait « mal à l'aise ».

Bloomberg s'est de nouveau exprimé sur le sujet : « Joe FitzPatrick ne faisait pas partie des 17 sources comprenant des spécialistes et des responsables gouvernementaux, et sa citation directe dans l'histoire décrit un exemple hypothétique de la manière dont une attaque matérielle pourrait se dérouler ».

En bourse, c'est de nouveau une chute pour Supermicro qui passe sous les 12,5 dollars. La semaine dernière, la société était à plus de 21 dollars par action.