כך T-Mobile ניתקה את Salt Typhoon: במספריים ובכבל רשת

במקום פקודה מרחוק, שינוי בחומת אש או התקנת עדכון תוכנה, צוות האבטחה של T-Mobile השתמש באמצעי שנשמע כמעט אנלוגי: הוא חתך במספריים כבל רשת שחיבר ציוד שנפגע לתשתית החברה.

המהלך הגיע בסוף חקירה שנמשכה חודשים, לאחר שהחברה זיהתה תעבורה חשודה שנכנסה דרך ספק תקשורת קווי שהיה מחובר לרשת שלה. בנובמבר 2024 איתר הצוות את הציוד החשוד ובודד אותו פיזית. לפי הדיווחים, החדירה נבלמה לפני שההאקרים הגיעו לנתוני לקוחות או לרשת הליבה של T-Mobile. 134

איך זוהתה החדירה

ההאקרים לא נכנסו, ככל הידוע, ישירות אל המערכות המרכזיות של T-Mobile. אנליסטים זיהו פעילות חריגה במערכת שהייתה מחוברת דרך ספק תקשורת קווי אחר, והחלו לעקוב אחר מסלול התעבורה דרך החיבור בין החברות. החקירה הובילה לנתב שנפגע או לציוד רשת קשור ששימש כנקודת גישה. 89

האיתור לא היה מיידי. האתגר היה לא רק לזהות תעבורה חריגה, אלא לקבוע איזה מכשיר אחראי לה ולוודא שניתוקו אכן יסגור את הנתיב בלי ליצור תקלה רחבה יותר. לפי הדיווחים, הפולשים הגיעו לתשתיות ניתוב בקצה הרשת, אך לא לרשת הליבה של T-Mobile. 6

למה לחתוך את הכבל

לאחר שאיתרו את הציוד במרכז נתונים סמוך למטה T-Mobile בבלוויו, וושינגטון, מנהל האבטחה הראשי דאז, ג'ף סיימון, ושלושה עמיתים נסעו למקום. הם מצאו את המכשיר וחתכו במספריים את כבל הרשת החיצוני שהיה מחובר אליו. 812

הניתוק הסיר מיד את נתיב התקשורת. במקום להסתמך על פקודה מרחוק שעלולה להיכשל — או להשאיר לתוקפים אפשרות להשתמש בנתיב חלופי — הצוות בודד את הציוד כדי שניתן יהיה לבדוק אותו כשהחיבור הפעיל אליו נותק. 1215

הפרט הדרמטי של המספריים אינו העיקר, אלא עיקרון מוכר בתגובה לאירועי סייבר: כשאי אפשר לסמוך על התקן מחובר, קודם עוצרים את הגישה ורק אחר כך ממשיכים בחקירה. במקרה הזה, ניתוק חומרה היה הדרך הברורה ביותר להפסיק את הנתיב החשוד.

מהו קמפיין Salt Typhoon

האירוע התרחש על רקע קמפיין הריגול הרחב המכונה Salt Typhoon — מבצע סייבר המקושר לסין, ושגורמים אמריקאיים קישרו לשחקנים המזוהים עם משרד ביטחון המדינה הסיני. לפי הדיווחים, הקמפיין התמקד בחברות תקשורת ובתשתיות רשת, במטרה להשיג מידע על תקשורת וגישה למערכות הקשורות ליירוט חוקי. 7

היקף הפעילות היה גדול בהרבה מחברה אחת. מקורות תיארו יותר מ-200 ארגונים שנפגעו ברחבי העולם, בהם חברות טלקום ואינטרנט. AT&T ו-Verizon אישרו שמערכותיהן היו יעד למתקפה, ובהמשך מסרו שהרשתות שלהן מאובטחות ואינן נתונות עוד לאיום. 17

דיווחים נוספים קשרו למעגל הנפגעים הרחב גם את Viasat, את Charter Communications ואת Windstream. במקביל, הובהר כי התמונה המלאה של הקמפיין עדיין התפתחה ככל שהחוקרים זיהו ארגונים נוספים. 72426

שלושה לקחים מאירוע אחד

חיבורים של צד שלישי עלולים להפוך לנתיב תקיפה

הפרשה מדגישה את הסיכון שבחיבורים בין חברות שנחשבים בדרך כלל מהימנים. תוקף אינו חייב לחדור ישירות למערכות המוגנות ביותר של ארגון, אם הוא יכול לנצל נתב, ספק סמוך או קשר שירותי כדי להתקדם לעבר היעד. המקרה של ספק התקשורת הקווי, שזהותו לא פורסמה, מראה מדוע ניטור אבטחה צריך לכלול גם חיבורים בין ארגונים — ולא להיעצר בגבול הרשת של החברה עצמה. 610

גילוי מוקדם מצמצם את הנזק

היתרון של T-Mobile, לפי הדיווחים, היה התזמון. החברה זיהתה פעילות חשודה, עקבה אחר המסלול שלה וניתקה את החיבור לפני שההאקרים הגיעו לנתוני לקוחות. אין פירוש הדבר שהחברה לא הייתה בסיכון; המשמעות היא שהחדירה נבלמה לפני שהפולשים הצליחו לבסס גישה רחבה יותר. 213

לפעמים בידוד אמין יותר מתיקון מרחוק

תגובה מודרנית לאירוע סייבר כוללת בדרך כלל החלפת הרשאות, שינוי כללי חומת אש, שימוש בכלי אבטחה והתקנת עדכונים. אבל כאשר התקן פיזי מסוים חשוד וניתן לנתק אותו בבטחה, הצעד הראשון האמין ביותר עשוי להיות פשוט לנתק אותו.

המספריים של T-Mobile הפכו לפרט הזכיר ביותר בסיפור משום שהן סימלו החלטת הכלה בלתי הפיכה: לעצור קודם את החיבור, ואז לבדוק לעומק את הציוד ואת מקור החדירה.

השורה התחתונה

Salt Typhoon חשפה עד כמה תשתיות תקשורת אטרקטיביות עבור מבצעי ריגול מטעם מדינות — ועד כמה פגיעה בארגון אחד עלולה לסכן אחרים דרך מערכות משותפות וקשרי רשת. המקרה של T-Mobile מראה גם שחדירה מתוחכמת אינה מחייבת בהכרח תגובה מתוחכמת ברגע ההכרעה. ניטור מתמשך, חקירה סבלנית ובידוד החלטי מנעו מחיבור חשוד להפוך לפריצה רחבה יותר, על סמך הדיווחים הזמינים. 415

חיתוך הכבל היה רק הצעד האחרון. ההגנה החשובה יותר הייתה העבודה שנמשכה חודשים ואפשרה לצוות לזהות את הנתיב החריג ולבודד את הציוד הנכון.