Come T-Mobile ha espulso gli hacker di Salt Typhoon tagliando un cavo di rete

La risposta di T-Mobile a una sospetta intrusione di Salt Typhoon si è conclusa con una misura di cybersecurity sorprendentemente concreta: un team ha tagliato fisicamente il cavo di rete che collegava all’esterno l’apparato compromesso. L’operatore aveva rilevato traffico anomalo proveniente dalla rete di un provider di collegamenti via cavo connesso alla propria infrastruttura e ha trascorso mesi a ricostruire il percorso dell’accesso, fino a isolare il sistema nel novembre 2024. 134

Secondo le ricostruzioni disponibili, l’incidente è rimasto un’intrusione circoscritta e non si è trasformato in una compromissione generalizzata della rete di T-Mobile. L’azienda ha dichiarato che gli aggressori sono stati bloccati prima di poter raggiungere i dati dei clienti, mentre le indagini sull’apparato isolato sono proseguite. 134

Come T-Mobile ha individuato l’intrusione

Gli aggressori non sembrano essere entrati direttamente nel cuore della rete dell’operatore. Gli analisti hanno notato attività anomala associata a un sistema collegato attraverso un altro provider di rete fissa. Seguendo il traffico lungo l’interconnessione, sono arrivati a un router compromesso o a un apparato di rete collegato. 89

L’indagine è durata mesi. La difficoltà non consisteva soltanto nel riconoscere un comportamento insolito, ma nel capire quale dispositivo fosse responsabile dell’attività e se la sua disconnessione avrebbe eliminato l’accesso degli intrusi senza provocare problemi operativi più ampi. Le ricostruzioni indicano che gli aggressori avevano raggiunto infrastrutture di routing periferiche, ma non la rete centrale di T-Mobile. 6

Perché il team ha scelto di tagliare il cavo

Una volta individuato l’apparato compromesso in un data center vicino alla sede di T-Mobile a Bellevue, nello Stato di Washington, il chief security officer Jeff Simon e tre colleghi si sono recati sul posto. Hanno trovato il dispositivo e hanno usato delle forbici per recidere il cavo di rete esterno collegato ad esso. 812

Il taglio ha eliminato immediatamente quel percorso di comunicazione. Invece di affidarsi a un comando remoto che avrebbe potuto fallire — o lasciare agli aggressori una via alternativa — il team ha isolato l’apparato per poterlo esaminare senza mantenere attiva la connessione. 1215

Il dettaglio delle forbici è quello più memorabile, ma il principio sottostante è tutt’altro che improvvisato: nel contenimento di un incidente, la priorità è interrompere l’accesso quando non si può più considerare affidabile un dispositivo connesso. In questo caso, una semplice disconnessione hardware era il modo più chiaro per chiudere il percorso sospetto.

La più ampia campagna di Salt Typhoon

L’episodio si è verificato nel contesto della campagna di cyberspionaggio Salt Typhoon, un’operazione collegata alla Cina che funzionari statunitensi hanno associato ad attori vicini al Ministero della Sicurezza dello Stato cinese. Le ricostruzioni hanno descritto attacchi contro operatori telecom e infrastrutture di rete, con l’obiettivo di ottenere informazioni sulle comunicazioni e accesso a sistemi legati alle intercettazioni legali. 7

La portata dell’operazione andava ben oltre un singolo operatore. Le fonti parlano di oltre 200 organizzazioni colpite a livello globale, tra società di telecomunicazioni e aziende internet. AT&T e Verizon hanno confermato di essere state prese di mira, anche se in seguito entrambe hanno dichiarato che le proprie reti erano sicure e non più sotto minaccia. 17

Altre ricostruzioni hanno collegato alla lista più ampia delle vittime aziende come Viasat, Charter Communications e Windstream. Le stesse ricostruzioni hanno sottolineato che l’estensione completa della campagna continuava a emergere man mano che gli investigatori identificavano nuove organizzazioni coinvolte. 72426

Cosa insegna il caso T-Mobile sulla sicurezza delle reti

Le connessioni con terze parti possono diventare vie d’attacco

Il caso T-Mobile mette in evidenza il rischio delle connessioni considerate fidate tra aziende. Un aggressore non deve necessariamente compromettere i sistemi più protetti di un’organizzazione: può sfruttare una rete adiacente, un router o un rapporto di servizio come punto di passaggio verso il bersaglio. Il provider di rete fissa, che T-Mobile non ha nominato, mostra perché il monitoraggio debba estendersi alle interconnessioni e non fermarsi al perimetro aziendale. 610

Rilevare presto limita i danni

Il vantaggio di T-Mobile, secondo le ricostruzioni, è stato soprattutto il tempismo. Gli investigatori hanno trovato l’attività sospetta prima che diventasse una compromissione generalizzata, ne hanno seguito il percorso e hanno interrotto la connessione prima che gli aggressori potessero raggiungere i dati dei clienti. Questo non significa che il rischio fosse nullo: significa che l’intrusione è stata contenuta prima che si trasformasse in un accesso più ampio. 213

A volte l’isolamento è più affidabile della correzione da remoto

La risposta agli incidenti moderni passa spesso da credenziali, regole dei firewall, strumenti per gli endpoint e patch software. Ma quando si sospetta di uno specifico apparato fisico e si può rimuoverne in sicurezza la connessione esterna, la prima mossa più affidabile può essere semplicemente scollegarlo.

Le forbici di T-Mobile sono diventate il simbolo della vicenda perché rappresentano una decisione di contenimento definitiva: prima si interrompe il collegamento, poi si conduce un’analisi completa.

La lezione più ampia

Salt Typhoon ha mostrato quanto le infrastrutture di telecomunicazione siano un obiettivo interessante per lo spionaggio sostenuto da uno Stato e quanto la compromissione di un’organizzazione possa creare rischi per altre aziende attraverso sistemi condivisi e relazioni di rete. L’esperienza di T-Mobile dimostra anche che un’intrusione sofisticata non richiede necessariamente una risposta altrettanto complessa.

Secondo le ricostruzioni disponibili, monitoraggio costante, tracciamento accurato e isolamento tempestivo hanno impedito che una connessione sospetta si trasformasse in una violazione più ampia della rete. 415

Il taglio del cavo è stato soltanto l’ultimo passaggio. La difesa più importante sono stati i mesi di indagine necessari a identificare il percorso anomalo e a fornire al team di sicurezza sufficiente certezza per isolare l’apparato giusto.