T-Mobile zastavil čínské hackery nůžkami. Jak odhalil útok Salt Typhoon

Útok, který nezačal přímým průnikem do zákaznických systémů

T-Mobile zřejmě odhalil a zastavil omezený pokus o průnik skupiny Salt Typhoon dříve, než útočníci získali širší přístup k jeho síti. Vyšetřovatelé zaznamenali neobvyklý provoz a postupně vysledovali jeho cestu ke směrovači, k němuž se hackeři dostali přes síť propojeného poskytovatele pevného připojení. Nešlo tedy podle dostupných zpráv o přímé napadení systémů určených zákazníkům. 34

Bezpečnostní tým T-Mobile strávil pátráním několik měsíců. Klíčovým bodem vyšetřování bylo síťové zařízení, přes které se útočníci pokoušeli dostat do prostředí operátora. Tehdejší šéf bezpečnosti Jeff Simon později popsal, že tým nakonec lokalizoval kompromitovaný router neboli „box“ v datovém centru v oblasti Bellevue ve státě Washington. 35

Rozhodující zásah? Přestřižený kabel

V listopadu 2024 se Simon a tři další pracovníci kybernetické bezpečnosti vydali do datového centra osobně. Když zařízení našli, nepokusili se spoléhat jen na vzdálenou nápravu nebo softwarové blokování. Pomocí nůžek přestřihli kabel, který router připojoval k vnější síti.

Tím zařízení fyzicky izolovali a okamžitě přerušili cestu, kterou útočníci do prostředí T-Mobile pronikali. Dostupné informace naznačují, že se hackeři nedostali k hlavní části sítě ani k zákaznickým údajům. 510

Příběh působí až překvapivě analogově: po měsících analýzy sofistikované státem podporované kampaně rozhodl o odpojení napadeného zařízení obyčejný fyzický zásah. Nešlo však o náhradu vyšetřování, ale o jeho závěrečný krok poté, co tým identifikoval konkrétní zařízení a síťovou cestu.

Co je Salt Typhoon

Salt Typhoon je označení pro čínskou, státem podporovanou špionážní skupinu, která se zaměřila na telekomunikační a internetovou infrastrukturu. Americké úřady potvrdily průniky do sítí amerických telekomunikačních operátorů a poskytovatelů internetových služeb a uvedly, že vyšetřování pokračovalo. 12

Telekomunikační sítě jsou pro podobnou operaci cenným cílem. Mohou obsahovat metadata komunikace, záznamy o hovorech a informace související se systémy zákonného odposlechu. Právě propojení mezi operátory, datovými centry a dalšími poskytovateli může vytvořit cesty, které útočníkům umožní dlouhodobý přístup k infrastruktuře.

Podle citovaných zpráv kampaň v roce 2024 zasáhla devět amerických telekomunikačních společností a více než 200 organizací po celém světě. Přesný počet obětí se však v jednotlivých zdrojích liší. Záleží také na tom, zda se za zasaženou firmu považuje společnost, na kterou se útočníci zaměřili, získali k ní přístup, nebo její síť skutečně kompromitovali. 15

Které firmy byly zasaženy?

Salt Typhoon byl veřejně spojován s velkými americkými telekomunikačními společnostmi. AT&T a Verizon potvrdily, že se staly terčem operace, a uvedly, že jejich sítě jsou nyní zabezpečené a že spolupracují s úřady. 24

V médiích a dalších zprávách se objevují také názvy T-Mobile, Viasat, Charter nebo Windstream. U těchto firem ale nelze automaticky tvrdit, že všechny byly napadeny stejným způsobem nebo ve stejném rozsahu. Veřejně dostupné vyšetřování rozlišuje mezi tím, že firma byla cílem, že se útočníci pokusili získat přístup, a tím, že skutečně pronikli do konkrétních systémů. Nejjistější veřejné potvrzení z dostupných podkladů se týká společností AT&T a Verizon. 2

Proč je případ T-Mobile důležitý

Případ ukazuje, že při obraně kritické infrastruktury nemusí být nejdůležitější jen sofistikované bezpečnostní nástroje. T-Mobile nejprve zachytil anomální provoz, měsíce mapoval jeho původ a poté odstranil konkrétní bod, přes který se útočníci dostávali do sítě.

Zároveň upozorňuje na riziko dodavatelských a partnerských propojení. Útočník nemusí prolomit hlavní síť přímo, pokud může využít důvěryhodné spojení s jiným poskytovatelem. V případě T-Mobile tak podle dostupných informací sehrál zásadní roli router dosažitelný přes propojenou síť, nikoli přímý útok na zákaznické systémy. 34

Salt Typhoon proto nebyl jen izolovaným incidentem jedné firmy. Šlo o širší kampaň proti sektoru, jehož infrastruktura zprostředkovává komunikaci velké části ekonomiky i státní správy. T-Mobile se z ní podle dostupných informací dostal díky včasnému odhalení a rychlému odpojení kompromitovaného zařízení.