T-Mobileはなぜハサミでネットワークケーブルを切ったのか

T-Mobileのサイバーセキュリティ対応は、思いがけず原始的な方法で決着した。チームは、侵害された可能性のある機器につながるネットワークケーブルを、実際にハサミで切断したという。

同社は、別の固定通信事業者を経由して入ってくる不審な通信を検知。侵入経路の特定に数カ月を費やした末、2024年11月に問題のシステムをネットワークから切り離した。134

T-Mobileによれば、攻撃者が顧客データに到達する前にアクセスを遮断でき、同社ネットワーク全体に広がる大規模な侵害には至らなかった。隔離された機器については、その後も調査が続けられた。134

侵入はどのように見つかったのか

攻撃者は、T-Mobileの中核ネットワークへ直接侵入したわけではなかったようだ。分析担当者が異常な通信を発見し、その通信が別の固定通信事業者のネットワークと接続されたシステムを経由していることを突き止めた。

そこから相互接続をたどっていくと、侵害されたルーター、または関連するネットワーク機器に行き着いたという。89

調査が難しかったのは、不審な動きを検知することだけではない。どの機器が原因なのか、そしてその機器を切断すれば攻撃者の経路を断てるのかを見極める必要があった。報道によると、侵入者が到達したのはネットワークの境界にあるルーティング基盤で、T-Mobileの中核ネットワークまでは到達していなかった。6

最後に選ばれたのは「ケーブルを切る」こと

侵害された機器が、T-Mobileの本社があるワシントン州ベルビュー近郊のデータセンターにあると判明すると、当時の最高セキュリティ責任者（CSO）ジェフ・サイモン氏と3人の同僚が現地へ向かった。

4人は問題の機器を見つけ、そこから外部ネットワークへ伸びていたケーブルをハサミで切断した。812

これにより、そのネットワーク経路は直ちに消滅した。遠隔コマンドに頼れば、操作が失敗したり、攻撃者が別の経路を残していたりする可能性がある。物理的に接続を切れば、機器を調査する間も、稼働中の通信経路を維持せずに済む。1215

印象的な「ハサミ」の場面が注目される一方、重要なのはその背後にある判断だ。接続された機器を信頼できないと判断した場合、まず封じ込めを優先する。今回のケースでは、単純なハードウェアの切断が、疑わしいアクセス経路を終わらせる最も確実な手段になった。

背景にあったSalt Typhoonの大規模攻撃

今回の出来事は、Salt Typhoonと呼ばれる広範なサイバースパイ活動のさなかに起きた。米当局は、この活動を中国国家安全部と関係する人物に結び付けており、通信会社やネットワーク基盤を標的に、通信情報や、法執行機関による通信傍受に関連するシステムへのアクセスを狙ったものだと説明している。7

影響は1社にとどまらない。報道では、通信会社やインターネット企業を含む世界200以上の組織が被害を受けたとされる。米国の大手通信会社では、AT&TとVerizonが自社システムを標的にされたことを認めたが、その後、ネットワークは安全で脅威は排除されたと説明した。17

さらに、Viasat、Charter Communications、Windstreamなども、より広い被害企業の範囲に含まれると報じられている。調査が進むにつれて、新たな組織が判明し、全体像は変化し続けていた。72426

T-Mobileの事例が示すネットワーク防御の要点

取引先との接続も攻撃経路になる

企業同士の信頼された接続は、利便性と同時にリスクも生む。攻撃者は、最も厳重に守られた中核システムを直接破る必要はない。隣接するネットワークやルーター、サービス提供関係を足がかりに、標的へ近づくことができるからだ。

T-Mobileのケースで名前が明らかにされていない固定通信事業者は、監視対象を自社の境界内だけに限定してはならないことを示している。企業間の相互接続も含めて、不審な通信を見張る必要がある。610

早期検知が被害を限定した

T-Mobileにとって大きかったのは、攻撃が広範囲に及ぶ前に異常を見つけられたことだった。調査担当者は通信経路を追跡し、顧客データに到達する前に接続を切断した。これはリスクが存在しなかったという意味ではなく、利用範囲が広がる前に侵入を封じ込めたということだ。213

遠隔対応より隔離が確実な場合もある

通常のインシデント対応では、認証情報の変更、ファイアウォール設定、エンドポイント対策、ソフトウェアの更新などが使われる。しかし、特定の物理機器が疑われ、その外部接続を安全に取り外せるなら、まず切断する方が確実な場合がある。

T-Mobileのハサミは、単なる話題性のある小道具ではない。先にリンクを止め、完全な調査を後から行うという、後戻りしにくい封じ込めの判断を象徴している。

ケーブルの切断より重要だったもの

Salt Typhoonは、通信インフラが国家支援型のスパイ活動にとっていかに魅力的な標的であるかを浮き彫りにした。また、共有システムや企業間のネットワーク接続を通じて、1社の侵害が別の組織にもリスクをもたらすことを示している。

一方、T-Mobileの事例は、高度な侵入に対する最後の対応が、必ずしも高度な技術である必要はないことも教えている。継続的な監視、慎重な経路の追跡、そして適切な機器の断固とした隔離によって、疑わしい接続が大規模なネットワーク侵害へ発展するのを防いだと、公開された報道は伝えている。415

ケーブルを切ったのは、あくまで最後の一手だった。本当に重要だったのは、疑わしい経路を特定し、どの機器を隔離すべきか判断できるところまで、チームが数カ月にわたって調査を続けたことだ。