Американский деловой журнал Bloomberg Businessweek опубликовал расследование, в котором утверждается, что в цепь поставок американской компании Super Micro Computer Inc. вмешалась армия Китая. В продукцию Supermicro были установлены жучки, что скомпрометировало серверы таких компаний как «Майкрософт», IBM, Apple, Amazon и других перед китайской разведкой.
В качестве потенциальных пострадавших Bloomberg приводит более 30 крупнейших компаний сектора ИКТ США: Apple, Amazon, Walmart, Microsoft, MediaTech, IBM и другие. Но серверы производства Supermicro и её партнёров установлены не только в частном секторе, а в том числе и в Центре управления дронами ЦРУ, на флоте, в обеих палатах Конгреса, в Министерстве внутренней безопасности и в Министерстве обороны США, где они применялись, в том числе, для обеспечения безопасной видеосвязи. Издание получило информацию от 17 анонимных источников в частных компаниях, а также от бывших и действующих представителей правительства США, работавших при администрациях Барака Обамы и Дональда Трампа, эти источники подтверждают факт взлома цепи поставок в доселе невиданном масштабе. По утверждению издания, расследование инцидента строго засекречено и ведётся уже три года.
Сама манипуляция, по утверждению Bloomberg, была обнаружена и передана в ФБР компаниями Apple и Amazon независимо друг от друга. Apple сообщила в ФБР об уязвимости после собственного аудита, проведённого в ходе покупки компании Topsy Labs, которая занималась разработкой сверхбыстрого интернет-поисковика, её наработки были применены в Siri, голосовом ассистенте Apple и использовали несколько тысяч серверов производства Supermicro. Amazon сообщила контрразведке об уязвимости после аудита, проведённого компанией перед запуском собственного онлайн-кинотеатра Amazon Prime Video в ходе приобретения компании Elemental Technologies, одного из клиентов Supermicro. По словам Джордона Робертсона и Майкла Райли, авторов сенсационного материала, размер установленного на материнские платы серверов чипа, замаскированного в качестве соединителя для формирования сигнала, разнится в зависимости от модели серверной материнской платы, но обычно не превышает размеров рисового зёрнышка. Чип устанавливается во временной памяти на линиях связи с процессором, обладает возможностями сетевой связи, собственной памятью и вычислительной мощностью, достаточной для атаки ядра операционной системы методом перехвата и изменения последовательности выполнения очереди команд процессора с целью приёма патчей и поддержания связи со злоумышленниками. Авторы замечают, что чипы устанавливались оперативниками отдела взлома аппаратного обеспечения Народно-освободительной армии Китая (НОАК), которые вносили изменения в проекты материнских плат, представляясь субподрядчикам Supermicro как государственные служащие Китая или как представители Supermicro, сопровождая свои запросы взятками или угрозами проверок директорам фабрик, на которых производились некоторый компоненты серверов Supermicro. Конечной целью этой атаки являлись интеллектуальная собственность американских компаний и сети государственных служб, данные пользователей хакеров не интересовали.
Компания Apple ответила на расследование заявлением о том, что за всё время работы с Supermicro не обнаружила никаких проблем с серверами на физическом уровне. Компания Amazon также отреагировала на расследование заявлением, в котором полностью отрицает факт обнаружения посторонних электронных компонентов в ходе аудита Elemental Technologies и передачу какой-либо информации в ФБР. Сама компания Supermicro заявила, что не располагает информацией о каких-либо расследованиях в отношении её продукции, по поводу уязвимости с компанией не связывались государственные агентства и не обращались клиенты, а сама компания готова к сотрудничеству в случае выявления проблем с серверами. Министерство иностранных дел Китая ответило на обвинение заявлением о том, что Китай твёрдо выступает за защиту цепочек поставок электронных компонентов и совместно с Россией и другими членами Шанхайской организации сотрудничества (ШОС) ещё в 2011 году в ООН представил «Международный кодекс поведения в области информационной безопасности», который закрепляет эти принципы.
