T-Mobile brugte en saks til at afbryde Salt Typhoons adgang

Det lyder næsten som en scene fra en film: Fire ansatte fra T-Mobile kører til et datacenter med en saks og klipper et netværkskabel over. Men det var ifølge rapporteringen den afgørende afslutning på måneders jagt på en mistænkt indtrængen fra hackergruppen Salt Typhoon.

T-Mobile opdagede mistænkelig trafik, der kom ind via en tilsluttet fastnetudbyder, og fulgte forbindelsen gennem netværket, indtil den førte til kompromitteret udstyr. I november 2024 blev den eksterne forbindelse afbrudt fysisk. 134

Resultatet blev, ifølge selskabets oplysninger, en begrænset indtrængen frem for et omfattende brud på T-Mobiles netværk. Angriberne blev stoppet, før de nåede kundedata, mens det isolerede udstyr fortsat kunne undersøges. 134

Sådan opdagede T-Mobile indtrængningen

Angriberne ser ikke ud til at være gået direkte ind i T-Mobiles mest beskyttede kernesystemer. Analytikere bemærkede i stedet uregelmæssig aktivitet på et system, der var forbundet via en anden fastnetudbyder. Ved at følge trafikken gennem forbindelsen fandt de frem til en kompromitteret router eller et tilsvarende stykke netværksudstyr. 89

Efterforskningen tog flere måneder. Udfordringen var ikke kun at registrere usædvanlig aktivitet, men også at fastslå, hvilket udstyr der var kompromitteret, og om en afbrydelse ville lukke angribernes adgang uden at skabe større driftsproblemer. Ifølge rapporteringen nåede de ind i netværkets ydre routing-infrastruktur, men ikke ind i T-Mobiles kernesystemer. 6

Hvorfor klippede de kablet over?

Da det kompromitterede udstyr var lokaliseret i et datacenter nær T-Mobiles hovedkvarter i Bellevue i delstaten Washington, tog sikkerhedschef Jeff Simon og tre kolleger selv derhen. De fandt enheden og klippede det eksterne netværkskabel, der var forbundet til den, over med en saks. 812

Den fysiske afbrydelse fjernede straks denne netværksvej. I stedet for at stole på en fjernkommando, der kunne mislykkes eller efterlade angriberne med en alternativ rute, blev udstyret isoleret, så det kunne undersøges uden en aktiv forbindelse. 1215

Den opsigtsvækkende detalje må dog ikke overskygge det grundlæggende sikkerhedsprincip: Inddæmning kommer først, når man ikke længere kan stole på en tilsluttet enhed. I dette tilfælde var en enkel fysisk afkobling den klareste måde at lukke den mistænkte adgang på.

Den bredere Salt Typhoon-kampagne

Hændelsen fandt sted under den større Salt Typhoon-kampagne, en Kina-forbundet cyberspionageoperation, som amerikanske myndigheder har sat i forbindelse med aktører med tilknytning til Kinas ministerium for statssikkerhed. Kampagnen blev ifølge rapporteringen rettet mod teleselskaber og anden netværksinfrastruktur med det formål at indsamle kommunikationsoplysninger og få adgang til systemer knyttet til lovlig aflytning. 7

Omfanget var langt større end ét enkelt teleselskab. Kilder beskriver mere end 200 berørte organisationer på verdensplan, herunder teleselskaber og internetvirksomheder. AT&T og Verizon bekræftede, at deres systemer var blevet målrettet, men oplyste senere, at netværkene var sikre og ikke længere truet. 17

Andre reportager har knyttet blandt andre Viasat, Charter Communications og Windstream til den bredere gruppe af ofre. Samtidig blev det understreget, at kampagnens fulde omfang fortsat blev afdækket, efterhånden som efterforskere identificerede flere organisationer. 72426

Hvad T-Mobile-sagen fortæller om netværkssikkerhed

Forbindelser til tredjeparter kan blive angrebsveje

T-Mobiles oplevelse viser risikoen ved forbindelser mellem virksomheder, som normalt anses for at være tillidsbaserede. En angriber behøver ikke nødvendigvis at kompromittere en organisations bedst beskyttede systemer direkte. Det kan være nok at bruge en nabonetværksforbindelse, en router eller et samarbejde med en tjenesteudbyder som genvej ind.

Den unavngivne fastnetudbyder i T-Mobile-sagen illustrerer derfor, hvorfor overvågning også bør omfatte forbindelser mellem organisationer og ikke kun virksomhedens egen netværkskant. 610

Tidlig opdagelse begrænser skaden

T-Mobiles vigtigste fordel var ifølge rapporteringen tidspunktet for opdagelsen. Efterforskerne fandt den mistænkelige aktivitet, sporede ruten og afbrød forbindelsen, før kundedata blev berørt. Det betyder ikke, at risikoen var væk, men at indtrængningen blev inddæmmet, før angriberne kunne etablere bredere adgang. 213

Fysisk isolation kan være mere pålidelig end fjernreparation

Moderne incident response bygger ofte på adgangskoder, firewall-regler, værktøjer til slutpunkter og softwareopdateringer. Men når en bestemt fysisk enhed er under mistanke, og dens eksterne forbindelse kan fjernes forsvarligt, kan den mest pålidelige første handling være simpelthen at afbryde den.

Saksen blev den mindeværdige del af historien, fordi den symboliserede en endelig beslutning om at inddæmme truslen: Stop forbindelsen først, og undersøg derefter udstyret grundigt.

Den større læring

Salt Typhoon-kampagnen viste, hvor attraktiv telekommunikationsinfrastruktur er for statsstøttet spionage, og hvordan et kompromis hos én organisation kan skabe risiko for andre gennem delte systemer og netværksforbindelser. T-Mobiles erfaring viser samtidig, at en sofistikeret indtrængen ikke altid kræver en sofistikeret afsluttende reaktion. Vedvarende overvågning, omhyggelig sporing og beslutsom isolation forhindrede ifølge de tilgængelige beretninger en mistænkelig forbindelse i at udvikle sig til et bredere netværksbrud. 415

Kabelklippet var kun det sidste trin. Det vigtigste forsvar var de mange måneders efterforskning, der identificerede den mistænkelige rute og gav sikkerhedsteamet tilstrækkelig sikkerhed til at isolere det rigtige udstyr.