T-Mobile odcięło kabel. Miało w sieci chińskich hakerów

Amerykański oddział T-Mobile zastosował radykalną metodę, żeby odciąć hakerom dostęp do swojej infrastruktury. Jak wynika z informacji Bloomberga, pracownicy odpowiedzialni za cyberbezpieczeństwo firmy w 2024 roku fizycznie przecięli przewód łączący przejęty system ze światem zewnętrznym. Był to jeden z elementów walki z szeroko zakrojoną kampanią grupy Salt Typhoon.

Salt Typhoon jest grupą hakerską powiązaną z chińskim rządem, której działania objęły setki przedsiębiorstw telekomunikacyjnych, internetowych oraz operatorów centrów danych. Celem kampanii było m.in. zdobywanie danych dotyczących połączeń telefonicznych oraz informacji na temat wysokich rangą przedstawicieli amerykańskiej administracji, w tym ówczesnych kandydatów na prezydenta.

T-Mobile na celowników hakerów z Chin

Wśród zaatakowanych przedsiębiorstw znalazły się między innymi AT&T, Verizon, operator satelitarnej sieci telefonicznej Viasat, a także firmy zajmujące się infrastrukturą sieciową, takie jak Charter i Windstream. T-Mobile również znalazł się na celowniku, jednak według dostępnych informacji uniknął naruszenia swojej sieci na równie dużą skalę, ponieważ podejrzaną aktywność udało się wykryć stosunkowo wcześnie.

Amerykański oddział T-Mobile zastosował radykalną metodę, żeby odciąć hakerom dostęp do swojej infrastruktury. Jak wynika z informacji Bloomberga, pracownicy odpowiedzialni za cyberbezpieczeństwo firmy w 2024 roku fizycznie przecięli przewód łączący przejęty system ze światem zewnętrznym. Był to jeden z elementów walki z szeroko zakrojoną kampanią grupy Salt Typhoon.

Nie nastąpiło to jednak od razu. Zespół cyberbezpieczeństwa T-Mobile przez kilka miesięcy próbował znaleźć podejrzanych intruzów we własnej sieci, początkowo bez powodzenia. Przełom nastąpił po wykryciu nietypowego zachowania jednego z systemów. Aktywność miała pochodzić z routera należącego do innego operatora telekomunikacyjnego, którego nazwy T-Mobile nie ujawnił.

Rozwiązanie? Przeciąć kabel

Po zidentyfikowaniu źródła problemu dyrektor ds. cyberbezpieczeństwa T-Mobile Jeff Simon oraz trzy inne osoby pojechały do pobliskiego centrum danych w Bellevue w stanie Waszyngton. Na miejscu zlokalizowali przejęty system, a następnie za pomocą nożyczek przecięli kabel łączący urządzenie z zewnętrzną siecią. W ten sposób fizycznie przerwali możliwość dalszej komunikacji zaatakowanego sprzętu.

Jak widać nawet przy zaawansowanych narzędziach monitorujących najskuteczniejszym rozwiązaniem kryzysowej sytuacji może czasem okazać się fizyczne odizolowanie urządzenia. W porównaniu z operatorami, których infrastruktura została szerzej naruszona podczas kampanii Salt Typhoon, T-Mobile miał skorzystać przede wszystkim na stosunkowo wczesnym wykryciu podejrzanej aktywności.

Trudne zadanie

Ataki Salt Typhoon nie były wymierzone w pojedynczą firmę, lecz w szeroko rozumianą infrastrukturę telekomunikacyjną, która przetwarza ogromne ilości wrażliwych informacji. Przypadek T-Mobile pokazuje też, jak trudne może być wykrycie napastników pozostających przez dłuższy czas wewnątrz rozbudowanej sieci.