Hoe T-Mobile Salt Typhoon buiten de deur hield met een doorgeknipte kabel

T-Mobile beëindigde een vermoedelijke inbraak door Salt Typhoon met een opvallend eenvoudige cybersecuritymaatregel: het team knipte fysiek de netwerkkabel door die een besmet apparaat met de buitenwereld verbond. De telecomprovider had verdacht verkeer ontdekt dat via een aangesloten aanbieder van vaste verbindingen binnenkwam en bracht de toegangsroute maandenlang in kaart. In november 2024 werd het systeem geïsoleerd. 134

Volgens T-Mobile bleef de inbraak beperkt. De aanvallers werden tegengehouden voordat ze klantgegevens konden bereiken, terwijl onderzoekers het geïsoleerde apparaat verder onderzochten. 134

Hoe T-Mobile de inbraak ontdekte

De aanvallers kwamen vermoedelijk niet rechtstreeks via de kern van T-Mobile binnen. Analisten zagen afwijkende activiteit bij een systeem dat via een andere aanbieder van vaste netwerkverbindingen was gekoppeld. Door het verkeer door die verbinding te volgen, kwamen ze uit bij een gecompromitteerde router of vergelijkbaar netwerkapparaat. 89

Het onderzoek nam maanden in beslag. Het ging niet alleen om het herkennen van ongebruikelijk verkeer, maar vooral om het vaststellen welk apparaat verantwoordelijk was en of het veilig kon worden losgekoppeld. Een verkeerde ingreep had immers ook reguliere bedrijfsprocessen kunnen verstoren. Volgens de berichtgeving bereikten de indringers wel de netwerkapparatuur aan de rand van de infrastructuur, maar niet het kernnetwerk van T-Mobile. 6

Waarom er een kabel werd doorgeknipt

Toen het verdachte apparaat was gelokaliseerd in een datacenter bij het hoofdkantoor van T-Mobile in Bellevue, Washington, gingen Chief Security Officer Jeff Simon en drie collega’s naar de locatie. Ze vonden de apparatuur en knipten met een schaar de externe netwerkkabel door die ermee verbonden was. 812

Die fysieke ingreep verbrak de netwerkroute onmiddellijk. In plaats van te vertrouwen op een opdracht op afstand — die kon mislukken of een aanvaller een alternatieve route kon laten — werd het apparaat volledig geïsoleerd voor verder onderzoek. 1215

De opvallende anekdote verhult een fundamenteel principe van incidentrespons: indammen gaat voor wanneer niet zeker is of een aangesloten apparaat nog te vertrouwen is. In dit geval was een eenvoudige hardwarematige ontkoppeling de duidelijkste manier om de vermoedelijke toegang af te sluiten.

De bredere Salt Typhoon-campagne

Het incident vond plaats tijdens de bredere campagne van Salt Typhoon, een aan China gelinkte cyberspionageoperatie. Amerikaanse functionarissen hebben de betrokken actoren in verband gebracht met de Chinese Ministry of State Security, de Chinese staatsveiligheidsdienst. Volgens berichtgeving richtte de campagne zich op telecombedrijven en andere netwerk-infrastructuur, onder meer om communicatiegegevens en toegang tot systemen voor rechtmatige onderschepping te verkrijgen. 7

De campagne bleef niet beperkt tot één provider. Volgens bronnen waren wereldwijd meer dan 200 organisaties betrokken, waaronder telecom- en internetbedrijven. AT&T en Verizon bevestigden dat hun systemen doelwit waren geweest. Beide bedrijven verklaarden later dat hun netwerken veilig waren en niet langer werden bedreigd. 17

Ook bedrijven als Viasat, Charter Communications en Windstream werden in berichtgeving aan de bredere groep getroffen organisaties gekoppeld. Tegelijk bleef de volledige omvang van de campagne zich ontwikkelen naarmate onderzoekers nieuwe slachtoffers identificeerden. 72426

Wat deze zaak zegt over netwerkbeveiliging

Verbindingen met derden kunnen een aanvalspad worden

De ervaring van T-Mobile onderstreept het risico van vertrouwde verbindingen tussen organisaties. Een aanvaller hoeft niet rechtstreeks een van de best beveiligde systemen van een bedrijf te kraken als een naastgelegen netwerk, router of dienstrelatie als tussenroute kan dienen. De niet bij naam genoemde aanbieder van vaste verbindingen in deze zaak laat zien waarom toezicht ook over onderlinge koppelingen heen moet gaan — en niet mag stoppen bij de eigen netwerkgrens. 610

Vroege detectie beperkt de schade

T-Mobile had volgens de beschikbare berichtgeving vooral een timingvoordeel. Onderzoekers ontdekten verdachte activiteit voordat die uitgroeide tot een grootschalige inbraak, traceerden de route en verbraken de verbinding voordat klantgegevens werden bereikt. Dat betekent niet dat er geen risico was; wel dat de inbraak werd ingedamd voordat de aanvallers bredere toegang konden opbouwen. 213

Isoleren kan betrouwbaarder zijn dan op afstand herstellen

Moderne incidentrespons draait vaak om toegangsgegevens, firewallregels, endpointsoftware en patches. Maar wanneer een specifiek fysiek apparaat verdacht is en de externe verbinding veilig kan worden verwijderd, kan loskoppelen de meest betrouwbare eerste stap zijn. De schaar werd het meest memorabele onderdeel van het verhaal omdat ze een onomkeerbare keuze symboliseerde: eerst de verbinding stoppen, daarna uitgebreid onderzoeken.

De belangrijkste les

Salt Typhoon maakte duidelijk hoe aantrekkelijk telecominfrastructuur is voor statelijke spionage — en hoe een besmetting bij de ene organisatie risico’s kan creëren voor andere organisaties via gedeelde systemen en netwerkrelaties. De ervaring van T-Mobile laat ook zien dat een geavanceerde aanval niet altijd een geavanceerde laatste handeling vereist. Volgens de beschikbare verslagen voorkwamen aanhoudende monitoring, zorgvuldig speurwerk en doortastende isolatie dat een verdachte verbinding uitgroeide tot een bredere netwerkbreuk. 415

Het doorknippen van de kabel was slechts de laatste stap. Belangrijker was het maandenlange onderzoek dat het verdachte pad blootlegde en het beveiligingsteam voldoende zekerheid gaf om precies het juiste apparaat te isoleren.