Bagaimana T-Mobile Menghalau Penggodam Salt Typhoon dengan Memutuskan Kabel Rangkaian

T-Mobile membendung cubaan pencerobohan yang disyaki berkaitan Salt Typhoon dengan cara yang agak luar biasa dalam dunia keselamatan siber: pasukannya memutuskan kabel rangkaian secara fizikal menggunakan gunting.

Syarikat telekomunikasi itu mengesan trafik mencurigakan yang masuk melalui penyedia rangkaian talian tetap yang bersambung dengannya. Selepas berbulan-bulan menjejaki laluan akses tersebut, pasukan keselamatan mengasingkan sistem berkenaan pada November 2024. 134

Menurut T-Mobile, pencerobohan itu kekal terhad. Penggodam disekat sebelum mereka mencapai data pelanggan, manakala peralatan yang diasingkan terus diperiksa oleh penyiasat. 134

Bagaimana T-Mobile mengesan pencerobohan

Serangan itu tidak kelihatan seperti kemasukan terus ke rangkaian teras T-Mobile. Penganalisis sebaliknya menemukan aktiviti luar biasa pada sistem yang bersambung melalui penyedia rangkaian talian tetap lain. Mereka kemudian menjejaki trafik tersebut merentasi sambungan antara kedua-dua rangkaian sehingga ia membawa kepada penghala yang dipercayai telah terjejas atau peralatan rangkaian berkaitan. 89

Siasatan itu mengambil masa berbulan-bulan. Cabarannya bukan sekadar mengenal pasti aktiviti ganjil, tetapi menentukan peranti yang bertanggungjawab dan menilai sama ada memutuskan sambungan itu akan menutup akses penggodam tanpa menimbulkan masalah operasi yang lebih besar. Laporan yang tersedia menyatakan bahawa penceroboh sempat mencapai infrastruktur penghalaan di pinggir rangkaian, namun tidak sampai ke rangkaian teras T-Mobile. 6

Mengapa kabel itu perlu dipotong

Selepas peralatan yang terjejas dikenal pasti di sebuah pusat data berhampiran ibu pejabat T-Mobile di Bellevue, Washington, Ketua Pegawai Keselamatan ketika itu, Jeff Simon, bersama tiga orang rakan sekerja pergi ke lokasi tersebut. Mereka menemui peranti berkenaan lalu menggunakan gunting untuk memutuskan kabel rangkaian luaran yang disambungkan kepadanya. 812

Tindakan itu serta-merta menghapuskan laluan rangkaian tersebut. Berbanding bergantung pada arahan jauh yang mungkin gagal—atau membiarkan penggodam mencari laluan alternatif—pasukan itu mengasingkan peralatan berkenaan supaya ia boleh disiasat tanpa mengekalkan sambungan aktif. 1215

Di sebalik gambaran dramatik itu, prinsipnya mudah: apabila pasukan pertahanan tidak lagi yakin bahawa peranti yang bersambung boleh dipercayai, pembendungan perlu diutamakan. Dalam kes ini, memutuskan kabel menjadi cara paling jelas untuk menamatkan laluan akses yang disyaki.

Kempen Salt Typhoon yang lebih besar

Insiden T-Mobile berlaku ketika kempen Salt Typhoon yang lebih luas sedang menyasarkan sektor telekomunikasi. Pegawai Amerika Syarikat mengaitkan operasi pengintipan siber itu dengan pelaku yang mempunyai hubungan dengan Kementerian Keselamatan Negara China. Laporan menyifatkannya sebagai kempen terhadap syarikat telekomunikasi dan infrastruktur rangkaian, termasuk sistem berkaitan pemintasan komunikasi yang sah di sisi undang-undang. 7

Skalanya dilaporkan jauh melangkaui satu syarikat. Sumber menyebut lebih 200 organisasi di seluruh dunia yang terjejas, termasuk syarikat telekomunikasi dan internet. AT&T serta Verizon mengakui sistem mereka telah menjadi sasaran, namun kedua-duanya kemudian menyatakan bahawa rangkaian mereka selamat dan tidak lagi berdepan ancaman. 17

Laporan lain turut mengaitkan Viasat, Charter Communications dan Windstream dengan kumpulan organisasi yang menjadi mangsa lebih luas. Pada masa sama, siasatan masih berjalan dan skop penuh kempen itu terus berkembang apabila penyiasat mengenal pasti organisasi tambahan. 72426

Apa yang didedahkan oleh kes T-Mobile tentang keselamatan rangkaian

Sambungan pihak ketiga boleh menjadi laluan serangan

Kes T-Mobile menyerlahkan risiko yang wujud daripada sambungan dipercayai antara syarikat. Penyerang tidak semestinya perlu menembusi sistem paling terlindung sesebuah organisasi secara terus. Mereka boleh menggunakan rangkaian bersebelahan, penghala atau hubungan perkhidmatan sebagai jalan masuk ke sasaran.

Penyedia talian tetap yang tidak dinamakan dalam kes T-Mobile menunjukkan mengapa pemantauan perlu meliputi sambungan antara rangkaian, bukan berhenti di sempadan rangkaian milik syarikat sendiri. 610

Pengesanan awal mengehadkan kerosakan

Kelebihan utama T-Mobile, berdasarkan laporan yang tersedia, ialah masa. Penyiasat menemukan aktiviti mencurigakan sebelum ia berkembang menjadi pencerobohan besar-besaran, menjejaki laluannya dan memutuskan sambungan sebelum data pelanggan dicapai. Ini tidak bermakna syarikat itu langsung tidak berdepan risiko; sebaliknya, pencerobohan tersebut berjaya dibendung sebelum penggodam memperoleh akses yang lebih luas. 213

Pengasingan kadangkala lebih kukuh daripada pemulihan jarak jauh

Tindak balas insiden moden biasanya bergantung pada kelayakan log masuk, peraturan tembok api, peralatan titik akhir dan tampalan perisian. Namun, jika peranti fizikal tertentu disyaki terjejas dan sambungan luarnya boleh ditanggalkan dengan selamat, langkah pertama yang paling boleh diharapkan mungkin hanyalah memutuskannya.

Gunting T-Mobile menjadi bahagian paling diingati kerana ia melambangkan keputusan pembendungan yang muktamad: hentikan sambungan terlebih dahulu, kemudian jalankan siasatan penuh.

Pengajaran yang lebih besar

Salt Typhoon menunjukkan betapa menariknya infrastruktur telekomunikasi kepada operasi pengintipan yang disokong negara—serta bagaimana kompromi pada satu organisasi boleh mewujudkan risiko kepada organisasi lain melalui sistem dan hubungan rangkaian yang dikongsi.

Pengalaman T-Mobile juga membuktikan bahawa pencerobohan yang canggih tidak semestinya memerlukan tindak balas terakhir yang rumit. Berdasarkan laporan yang ada, pemantauan berterusan, penjejakan yang teliti dan pengasingan pantas menghalang sambungan mencurigakan daripada berubah menjadi pencerobohan rangkaian yang lebih besar. 415

Memotong kabel itu hanyalah langkah terakhir. Pertahanan yang lebih penting ialah siasatan selama berbulan-bulan yang mengenal pasti laluan mencurigakan tersebut dan memberikan keyakinan kepada pasukan keselamatan untuk mengasingkan peralatan yang tepat.