Miten T-Mobile pysäytti Kiinan tukemiksi väitetyt Salt Typhoon -hakkerit vuonna 2024?

T-Mobile näyttää pysäyttäneen Salt Typhoon -ryhmän rajallisen tunkeutumisyrityksen ennen kuin se kehittyi laajaksi verkkoloukkaukseksi. Yhtiön tutkijat havaitsivat poikkeavaa liikennettä, seurasivat sen kulkua kuukausien ajan ja päätyivät verkkolaitteeseen, joka oli saavutettavissa T-Mobileen yhteydessä olleen lankaverkko-operaattorin kautta. Lopulta yhteys laitteeseen katkaistiin fyysisesti. 12

Poikkeava liikenne johti kumppaniverkkoon

T-Mobilen kyberturvatiimi huomasi epäilyttävää toimintaa yhtiön sisäisessä järjestelmässä. Tutkinta ei viitannut siihen, että hyökkääjät olisivat tunkeutuneet suoraan asiakkaiden käyttämiin järjestelmiin. Sen sijaan pääsy näytti kulkeneen T-Mobileen yhteydessä olleen lankaverkkoyhtiön infrastruktuurin kautta. 34

Tiimi käytti kuukausia yhteyden alkuperän selvittämiseen ja vaarantuneen verkkolaitteen paikantamiseen. Raporttien mukaan kyse oli reitittimestä tai muusta verkkolaitteesta, jonka kautta hyökkääjillä oli reitti T-Mobilen ympäristöön. Julkisuudessa ei ole kerrottu, mikä kumppaniyritys oli kyseessä. 10

Ratkaiseva toimenpide tehtiin datakeskuksessa

Marraskuussa 2024 T-Mobilen silloinen turvallisuusjohtaja Jeff Simon ja kolme muuta turvallisuustiimin jäsentä ajoivat Bellevue-alueella Washingtonin osavaltiossa sijaitsevaan datakeskukseen. He tunnistivat vaarantuneen laitteen ja katkaisivat sen ulkoisen verkkoyhteyden saksilla. 35

Ratkaisu oli poikkeuksellisen konkreettinen: palomuurisäännön tai etäkomennon sijaan tiimi katkaisi fyysisen kaapelin. Näin laite eristettiin välittömästi ja hyökkääjien reitti T-Mobilen ympäristöön sulkeutui. Saatavilla olevien tietojen perusteella tunkeutuminen pysyi rajallisena, eikä hyökkääjien kerrotaan päässeen yhtiön ydinverkkoon tai asiakkaiden tietoihin. 1015

Laajempi Salt Typhoon -kampanja kohdistui telealaan

Tapaus oli osa Salt Typhoon -nimellä tunnettua Kiinan kansantasavaltaan yhdistettyä, valtiollisesti tuettua kybervakoilukampanjaa. Yhdysvaltain viranomaiset ovat vahvistaneet, että ryhmä tunkeutui teleoperaattorien ja internetpalveluntarjoajien verkkoihin. Kampanjan tavoitteena oli ilmeisesti hankkia arkaluonteisia viestintä- ja valvontatietoja. 12

Telealan infrastruktuuri on hyökkääjille erityisen kiinnostava kohde, koska sen kautta voi olla mahdollista saada puhelutietoja, viestinnän metatietoja ja tietoja viranomaisten laillisessa tiedonhankinnassa käyttämistä järjestelmistä. Vuonna 2024 kampanjan on raportoitu vaarantaneen yhdeksän yhdysvaltalaista teleoperaattoria ja yli 200 organisaatiota maailmanlaajuisesti. Lukuihin liittyy kuitenkin epävarmuutta: eri lähteet käyttävät termejä "kohteeksi joutunut", "saavutettu" ja "murrettu" eri tavoin. 51

AT&T ja Verizon vahvistivat julkisesti joutuneensa Salt Typhoonin kohteiksi ja kertoivat verkkojensa olevan sittemmin turvassa. 2 Kampanjaan on raporteissa liitetty myös muita yrityksiä, kuten T-Mobile, Viasat, Charter ja Windstream. Kaikkien näiden yhtiöiden kohdalla julkinen näyttö ei kuitenkaan ole samanvahvuista, eikä niitä pidä automaattisesti pitää samalla tavalla murrettuina. 211

Miksi T-Mobilen tapaus on merkittävä?

Tapaus osoittaa, että hyökkäysreitti ei välttämättä kulje suoraan kohdeyrityksen omista järjestelmistä. Yhteydet kumppaneihin, datakeskuksiin ja muihin verkko-operaattoreihin voivat avata hyökkääjille vaihtoehtoisen väylän.

T-Mobilen tapauksessa varhainen havaitseminen ja vaarantuneen laitteen fyysinen eristäminen näyttävät estäneen laajemman murtautumisen. Samalla Salt Typhoon -kampanja nosti esiin televerkkojen merkityksen osana valtioiden laajempaa kybervakoilua – sekä sen, kuinka yhden verkon heikkous voi vaikuttaa kokonaisuuteen. 12