T-Mobile cortó un cable con tijeras para expulsar a los hackers de Salt Typhoon

La respuesta de T-Mobile a una presunta intrusión de Salt Typhoon terminó con una medida de ciberseguridad tan sencilla como contundente: un equipo se desplazó físicamente hasta el dispositivo comprometido y cortó con tijeras el cable de red que lo conectaba con el exterior. La operadora detectó tráfico sospechoso que llegaba a través de un proveedor de comunicaciones cableadas conectado a su infraestructura y pasó meses siguiendo el rastro, hasta aislar el sistema en noviembre de 2024. 134

El resultado, según la información disponible, fue una intrusión limitada y no una toma generalizada de la red de T-Mobile. La compañía afirmó que los atacantes fueron bloqueados antes de acceder a los datos de sus clientes, mientras los investigadores continuaban analizando el equipo aislado. 134

Cómo detectó T-Mobile la intrusión

Los atacantes no parecían haber entrado directamente por el núcleo de la red de T-Mobile. Los analistas observaron actividad anómala asociada a un sistema conectado mediante otro proveedor de comunicaciones cableadas. Después siguieron el tráfico a través de esa interconexión hasta llegar a un router comprometido u otro equipo de red relacionado. 89

La investigación duró meses. El reto no consistía únicamente en detectar un comportamiento extraño, sino en determinar qué dispositivo estaba implicado y si desconectarlo eliminaría el acceso de los intrusos sin provocar un problema operativo mayor. Según los informes, los atacantes llegaron a la infraestructura de enrutamiento perimetral, pero no al núcleo de la red de T-Mobile. 6

Por qué cortaron el cable

Una vez localizado el equipo comprometido en un centro de datos cercano a la sede de T-Mobile en Bellevue, Washington, el director de seguridad de la información, Jeff Simon, acudió al lugar con otros tres compañeros. Allí encontraron el dispositivo y utilizaron unas tijeras para cortar el cable de red externo conectado a él. 812

El corte eliminó de inmediato esa ruta de comunicación. En lugar de confiar en una orden remota que podía fallar —o dejar abierta una vía alternativa para el atacante—, el equipo aisló el hardware para poder investigarlo sin mantener activa la conexión. 1215

El detalle de las tijeras es llamativo, pero no debe eclipsar el principio técnico: en una respuesta a incidentes, contener la amenaza es prioritario cuando los defensores ya no pueden confiar plenamente en un dispositivo conectado. En este caso, una desconexión física era la forma más clara de terminar con la vía de acceso sospechosa.

La campaña más amplia de Salt Typhoon

El incidente tuvo lugar durante la campaña de ciberespionaje conocida como Salt Typhoon, una operación vinculada a China que funcionarios estadounidenses han asociado con actores relacionados con el Ministerio de Seguridad del Estado chino. Los informes describen ataques contra empresas de telecomunicaciones y otras infraestructuras de red, con el objetivo de obtener información sobre comunicaciones y acceder a sistemas relacionados con la interceptación legal. 7

La campaña abarcó mucho más que una sola operadora. Las fuentes hablan de más de 200 organizaciones afectadas en todo el mundo, entre ellas compañías de telecomunicaciones y proveedores de internet. AT&T y Verizon reconocieron que sus sistemas habían sido objetivo de los ataques, aunque posteriormente ambas afirmaron que sus redes estaban seguras y ya no se encontraban bajo amenaza. 17

Otros informes relacionaron a Viasat, Charter Communications y Windstream con el conjunto más amplio de posibles víctimas. También subrayaron que el alcance total de la operación seguía cambiando a medida que los investigadores identificaban nuevas organizaciones afectadas. 72426

Qué revela el caso sobre la seguridad de las redes

Las conexiones de terceros también pueden ser rutas de ataque

El caso de T-Mobile pone de relieve el riesgo de las conexiones consideradas de confianza entre empresas. Un atacante no necesita comprometer directamente los sistemas mejor protegidos de una organización si puede aprovechar una red vecina, un router o una relación de servicio para acercarse a su objetivo. El proveedor de comunicaciones cableadas —cuyo nombre T-Mobile no ha revelado— muestra por qué la vigilancia debe extenderse a las interconexiones y no detenerse en el perímetro propio. 610

Detectar pronto limita los daños

La principal ventaja de T-Mobile fue el momento en que detectó la actividad. Los investigadores encontraron señales sospechosas antes de que se convirtieran en una intrusión generalizada, rastrearon la ruta y cortaron la conexión antes de que se alcanzaran los datos de los clientes. Eso no significa que la operadora no afrontara riesgos; significa que, según los informes disponibles, la intrusión quedó contenida antes de que los atacantes pudieran ampliar su acceso. 213

Aislar puede ser más fiable que reparar a distancia

La respuesta moderna a los incidentes suele apoyarse en credenciales, reglas de cortafuegos, herramientas para los dispositivos y parches de software. Sin embargo, cuando se sospecha de un equipo físico concreto y es posible retirar su conexión externa de forma segura, desconectarlo puede ser el primer paso más fiable.

Las tijeras se convirtieron en la imagen memorable de esta historia porque representan una decisión de contención irreversible: cortar primero el vínculo y completar la investigación después.

La lección de fondo

Salt Typhoon expuso el atractivo que tienen las infraestructuras de telecomunicaciones para el espionaje respaldado por Estados y mostró cómo un compromiso en una organización puede generar riesgos para otras a través de sistemas compartidos y relaciones de red. La experiencia de T-Mobile también demuestra que una intrusión sofisticada no siempre exige una respuesta final igualmente sofisticada. Según los relatos disponibles, la supervisión constante, el rastreo cuidadoso y el aislamiento decidido impidieron que una conexión sospechosa se transformara en una brecha de red más amplia. 415

Cortar el cable fue solo el último paso. La defensa más importante fueron los meses de investigación que permitieron identificar la ruta anómala y dieron al equipo de seguridad la confianza suficiente para aislar el equipo correcto.