T-Mobile Memutus Kabel Jaringan demi Menghentikan Peretas Salt Typhoon

Respons T-Mobile terhadap dugaan serangan Salt Typhoon berakhir dengan tindakan keamanan siber yang tidak biasa: timnya mendatangi pusat data dan memotong kabel jaringan yang menghubungkan perangkat bermasalah.

Operator telekomunikasi Amerika Serikat itu mendeteksi lalu lintas mencurigakan yang masuk melalui jaringan penyedia layanan komunikasi kabel yang terhubung dengannya. Setelah berbulan-bulan menelusuri jalur akses tersebut, T-Mobile mengisolasi sistem terkait pada November 2024. 134

Hasilnya, menurut laporan yang tersedia, adalah intrusi terbatas—bukan pengambilalihan luas atas jaringan T-Mobile. Perusahaan menyatakan para penyerang berhasil diblokir sebelum mencapai data pelanggan, sementara perangkat yang diisolasi tetap diperiksa oleh penyelidik. 134

Bagaimana T-Mobile menemukan penyusupan itu

Peretas tampaknya tidak masuk melalui jalur langsung yang mudah terlihat menuju jaringan inti T-Mobile. Para analis justru menemukan aktivitas tidak wajar pada sistem yang terhubung melalui penyedia jaringan kabel lain. Mereka kemudian mengikuti aliran lalu lintas tersebut melewati koneksi ant jaringan hingga mengarah ke router atau perangkat jaringan terkait yang telah disusupi. 89

Penyelidikan itu berlangsung selama berbulan-bulan. Tantangannya bukan sekadar menemukan aktivitas aneh, melainkan memastikan perangkat mana yang menjadi sumber masalah dan apakah pemutusan koneksi akan benar-benar menutup akses peretas tanpa menimbulkan gangguan operasional yang lebih besar. Laporan menyebut penyusup sempat mencapai infrastruktur perutean di sisi jaringan, tetapi tidak masuk ke jaringan inti T-Mobile. 6

Mengapa kabelnya dipotong

Setelah lokasi perangkat yang diduga disusupi ditemukan di sebuah pusat data dekat kantor pusat T-Mobile di Bellevue, Washington, Chief Security Officer Jeff Simon bersama tiga rekannya mendatangi fasilitas tersebut. Mereka menemukan perangkat itu dan menggunakan gunting untuk memutus kabel jaringan eksternal yang terhubung dengannya. 812

Pemotongan tersebut segera menghilangkan jalur koneksi ke perangkat. Alih-alih mengandalkan perintah jarak jauh yang mungkin gagal atau menyisakan jalur alternatif bagi penyerang, tim T-Mobile mengisolasi perangkat secara fisik agar dapat diperiksa tanpa mempertahankan koneksi aktif. 1215

Detail penggunaan gunting memang terdengar dramatis, tetapi prinsip di baliknya sangat mendasar: dalam penanganan insiden, membatasi akses harus didahulukan ketika keamanan sebuah perangkat belum dapat dipercaya. Dalam kasus ini, pemutusan perangkat keras menjadi cara paling jelas untuk menghentikan dugaan jalur masuk tersebut.

Salt Typhoon dan kampanye spionase yang lebih luas

Insiden T-Mobile terjadi di tengah kampanye Salt Typhoon, operasi spionase siber yang dikaitkan dengan China. Pejabat Amerika Serikat menghubungkan kelompok ini dengan aktor yang terkait dengan Kementerian Keamanan Negara China. Laporan menyebut kampanye tersebut menyasar perusahaan telekomunikasi dan infrastruktur jaringan untuk memperoleh informasi komunikasi serta akses ke sistem yang berkaitan dengan penyadapan sah untuk penegakan hukum. 7

Skalanya dilaporkan jauh melampaui satu operator. Sumber-sumber yang dikutip menyebut lebih dari 200 organisasi di seluruh dunia terdampak, termasuk perusahaan telekomunikasi dan internet. AT&T dan Verizon mengakui bahwa sistem mereka menjadi sasaran, meski keduanya kemudian menyatakan jaringan mereka aman dan tidak lagi berada di bawah ancaman. 17

Laporan lain mengaitkan Viasat, Charter Communications, dan Windstream dengan daftar korban yang lebih luas. Namun, penyelidikan masih berkembang dan cakupan penuh kampanye tersebut belum sepenuhnya terpetakan ketika organisasi-organisasi tambahan mulai teridentifikasi. 72426

Pelajaran keamanan jaringan dari kasus T-Mobile

Koneksi pihak ketiga dapat menjadi jalur serangan

Kasus T-Mobile memperlihatkan risiko dari hubungan jaringan yang biasanya dianggap tepercaya. Penyerang tidak selalu perlu menembus sistem yang paling terlindungi secara langsung. Mereka dapat memanfaatkan jaringan yang bersebelahan, router, atau hubungan layanan dengan mitra sebagai jalan menuju target.

Karena itu, pemantauan keamanan tidak cukup berhenti di batas jaringan milik sebuah perusahaan. Koneksi ant penyedia layanan juga perlu diawasi. Dalam kasus T-Mobile, jaringan penyedia layanan kabel yang tidak disebutkan namanya menjadi bagian penting dari jalur akses yang ditelusuri. 610

Deteksi dini mempersempit dampak

Keunggulan T-Mobile, menurut laporan yang tersedia, terletak pada waktu deteksinya. Tim menemukan aktivitas mencurigakan sebelum berkembang menjadi kompromi luas, menelusuri sumber lalu lintas, lalu memutus koneksi sebelum data pelanggan tercapai. Ini bukan berarti risikonya tidak ada; artinya, intrusi berhasil dibatasi sebelum penyerang memperoleh akses yang lebih luas. 213

Isolasi fisik kadang lebih andal daripada perbaikan jarak jauh

Penanganan insiden modern biasanya melibatkan penggantian kredensial, aturan firewall, perangkat pemantauan endpoint, dan pembaruan perangkat lunak. Namun, ketika perangkat fisik tertentu dicurigai dan koneksi eksternalnya dapat dilepas dengan aman, tindakan paling dapat diandalkan mungkin adalah memutus koneksi tersebut.

Gunting menjadi bagian paling mudah diingat dari kisah ini karena melambangkan keputusan isolasi yang tegas: hentikan jalurnya terlebih dahulu, kemudian lakukan pemeriksaan secara menyeluruh.

Pelajaran yang lebih besar

Salt Typhoon menunjukkan mengapa infrastruktur telekomunikasi menjadi sasaran menarik bagi operasi spionase yang didukung negara. Kampanye semacam ini juga memperlihatkan bagaimana penyusupan pada satu organisasi dapat menciptakan risiko bagi organisasi lain melalui sistem bersama dan hubungan jaringan.

Pengalaman T-Mobile menunjukkan bahwa respons terakhir terhadap serangan canggih tidak selalu harus rumit. Pemantauan yang konsisten, penelusuran yang teliti, dan isolasi yang cepat membantu mencegah koneksi mencurigakan berubah menjadi pembobolan jaringan yang lebih luas, berdasarkan laporan yang tersedia. 415

Pemotongan kabel hanyalah langkah terakhir. Pertahanan yang lebih penting adalah penyelidikan selama berbulan-bulan yang berhasil menemukan jalur mencurigakan dan memberi tim keamanan keyakinan untuk mengisolasi perangkat yang tepat.