Comment T-Mobile a expulsé Salt Typhoon en coupant un câble réseau

La riposte de T-Mobile contre une intrusion suspectée de Salt Typhoon s’est terminée par une scène digne d’un film, mais avec une logique de cybersécurité très concrète : une équipe a utilisé des ciseaux pour couper le câble réseau qui alimentait l’équipement compromis. L’opérateur avait détecté un trafic inhabituel provenant d’un fournisseur de réseau filaire connecté à son infrastructure, puis a consacré plusieurs mois à retracer le chemin d’accès avant d’isoler le système en novembre 2024. 134

Selon les informations rapportées, l’incident est resté limité. T-Mobile a indiqué que les attaquants avaient été bloqués avant d’accéder aux données de ses clients, tandis que les enquêteurs poursuivaient l’examen du matériel isolé. 134

Une piste qui passait par un réseau partenaire

Les hackers ne semblent pas être entrés directement dans le cœur du réseau de T-Mobile. Les analystes ont d’abord repéré une activité anormale associée à un système connecté par l’intermédiaire d’un autre opérateur de réseau filaire. En remontant le trafic à travers cette interconnexion, ils ont fini par identifier un routeur compromis ou un équipement réseau apparenté. 89

L’enquête a duré des mois. Le défi ne consistait pas seulement à détecter une anomalie, mais à déterminer quel appareil était en cause et à vérifier qu’une déconnexion ne provoquerait pas elle-même un problème opérationnel plus important. D’après les informations disponibles, les intrus avaient atteint des infrastructures de routage en périphérie du réseau, sans parvenir jusqu’au réseau central de T-Mobile. 6

Cette situation illustre un risque bien connu dans les grandes infrastructures : une organisation n’a pas forcément besoin d’être attaquée par sa façade la mieux protégée. Une interconnexion, un routeur ou un fournisseur considéré comme fiable peut devenir un point d’appui vers la cible.

Pourquoi couper le câble plutôt que lancer une commande à distance ?

Une fois l’équipement compromis localisé dans un centre de données proche du siège de T-Mobile, à Bellevue, dans l’État de Washington, le directeur de la sécurité Jeff Simon et trois collègues se sont rendus sur place. Ils ont identifié l’appareil, puis sectionné aux ciseaux le câble réseau externe qui y était raccordé. 812

La coupure a supprimé immédiatement cette voie de communication. Au lieu de dépendre d’une commande distante susceptible d’échouer — ou de laisser à l’attaquant une autre possibilité d’accès — l’équipe a isolé physiquement le matériel afin de pouvoir l’examiner sans maintenir la connexion active. 1215

Le détail des ciseaux est spectaculaire, mais le principe est classique : lorsqu’un équipement connecté n’est plus digne de confiance, le confinement passe avant le diagnostic complet. Dans ce cas précis, retirer physiquement la liaison était le moyen le plus clair de mettre fin au chemin d’accès suspect.

Salt Typhoon, une campagne bien plus vaste

L’incident s’est produit dans le contexte de la campagne Salt Typhoon, une opération d’espionnage informatique liée à la Chine. Des responsables américains l’ont associée à des acteurs liés au ministère chinois de la Sécurité d’État. Les télécommunications et les infrastructures réseau figuraient parmi les cibles, avec un intérêt particulier pour les informations de communication et les systèmes liés aux interceptions légales. 7

L’ampleur de la campagne dépassait largement le cas de T-Mobile. Les sources évoquent plus de 200 organisations touchées dans le monde, notamment des entreprises de télécommunications et d’accès à internet. AT&T et Verizon ont reconnu avoir été visées, avant d’affirmer que leurs réseaux étaient sécurisés et n’étaient plus menacés. 17

D’autres articles ont également cité Viasat, Charter Communications et Windstream parmi les organisations concernées par la campagne au sens large. La liste continuait toutefois d’évoluer à mesure que les enquêteurs identifiaient de nouvelles victimes potentielles. 72426

Ce que l’affaire révèle sur la sécurité des réseaux

Les connexions tierces élargissent la surface d’attaque

Le cas de T-Mobile rappelle qu’une relation de confiance entre entreprises peut aussi devenir une porte d’entrée. La compromission directe des systèmes les plus sensibles d’une organisation n’est pas toujours nécessaire si un attaquant peut passer par un réseau adjacent, un routeur ou un service interconnecté. La surveillance doit donc couvrir les liaisons entre partenaires, et pas uniquement le périmètre interne de l’entreprise. 610

La détection précoce réduit les dégâts

L’avantage de T-Mobile a été d’intervenir à temps. Les enquêteurs ont repéré une activité suspecte avant qu’elle ne se transforme en compromission généralisée, ont reconstitué le trajet du trafic, puis ont coupé la connexion avant tout accès aux données des clients. Cela ne signifie pas que le risque était nul, mais plutôt que l’intrusion a été contenue avant que les attaquants n’étendent leur accès, selon les informations rapportées. 213

L’isolement peut être plus fiable qu’une remédiation à distance

La réponse à incident moderne s’appuie souvent sur des identifiants, des règles de pare-feu, des outils de sécurité sur les terminaux et des correctifs logiciels. Mais lorsqu’un appareil physique précis est suspect et que sa liaison externe peut être retirée sans danger, la première mesure la plus fiable peut être de le déconnecter.

Les ciseaux de T-Mobile sont devenus l’image forte de l’affaire parce qu’ils symbolisent une décision de confinement irréversible : interrompre la liaison d’abord, mener l’enquête ensuite.

La leçon à retenir

Salt Typhoon a mis en évidence l’attrait des infrastructures de télécommunications pour l’espionnage soutenu par un État, ainsi que les risques créés par les systèmes partagés et les relations de réseau entre entreprises. L’expérience de T-Mobile montre aussi qu’une intrusion sophistiquée n’exige pas nécessairement une réponse finale tout aussi complexe. Une surveillance persistante, une traçabilité rigoureuse et un isolement décidé au bon moment ont empêché une connexion suspecte de se transformer en compromission plus vaste, d’après les récits disponibles. 415

La coupure du câble n’était que la dernière étape. Le véritable travail de défense avait commencé des mois plus tôt, lorsque les équipes ont identifié le chemin inhabituel et réuni suffisamment d’éléments pour isoler le bon équipement.