T-Mobile stopte Chinese hackers door een netwerkkabel door te knippen

Een maandenlange zoektocht

T-Mobile lijkt een beperkte inbraakpoging van Salt Typhoon te hebben gestopt voordat die uitmondde in een brede netwerkbreuk. Het beveiligingsteam zag afwijkend verkeer op een intern systeem en onderzocht maandenlang hoe de aanvallers toegang probeerden te krijgen. Uiteindelijk leidde het spoor naar een router die bereikbaar was via het netwerk van een met T-Mobile verbonden aanbieder van vaste telecomdiensten. 34

Volgens de beschikbare berichtgeving kwamen de aanvallers dus niet rechtstreeks binnen via systemen waarmee klanten verbinding maken. Ze gebruikten een gekoppelde infrastructuur als tussenstap. Dat maakte het lastiger om de bron snel te lokaliseren, maar gaf T-Mobile uiteindelijk ook een duidelijk aangrijpingspunt.

De oplossing: de kabel doorknippen

In november 2024 gingen toenmalig chief security officer Jeff Simon en drie collega's naar een datacenter in de omgeving van Bellevue, in de Amerikaanse staat Washington. Daar identificeerden ze het betreffende netwerkapparaat, ook omschreven als een ‘box’. Vervolgens knipten ze met een schaar de kabel door die de externe netwerkverbinding verzorgde. Daarmee werd de router fysiek geïsoleerd en verdween de route waarlangs de aanvallers T-Mobile konden bereiken. 35

De aanpak was opvallend eenvoudig voor een aanval die werd toegeschreven aan een geavanceerde, door de Chinese overheid gesteunde groep. In plaats van te wachten op een softwarematige oplossing of een commando op afstand, werd de verbinding letterlijk verbroken.

Onderdeel van een veel grotere spionagecampagne

De groep Salt Typhoon wordt door Amerikaanse autoriteiten en cyberbeveiligingspartners in verband gebracht met een aan de Volksrepubliek China gelieerde cyberspionagecampagne. Daarbij werden telecom- en internetinfrastructuur in de Verenigde Staten en andere landen langdurig benaderd. 12

Telecomnetwerken zijn voor spionage een aantrekkelijk doelwit. Ze kunnen toegang bieden tot metadata van communicatie, belgegevens en infrastructuur die wordt gebruikt voor rechtmatige interceptie. Volgens de aangehaalde berichtgeving werden in 2024 negen Amerikaanse telecombedrijven en wereldwijd meer dan tweehonderd organisaties gecompromitteerd. De precieze aantallen blijven afhankelijk van de definitie: ‘doelwit’, ‘benaderd’, ‘toegang verkregen’ en ‘daadwerkelijk gehackt’ betekenen niet hetzelfde. 51

Publiekelijk is in elk geval bevestigd dat AT&T en Verizon doelwit waren van de operatie. Beide bedrijven meldden dat hun netwerken weer veilig waren en dat zij met opsporingsdiensten en overheidsinstanties samenwerkten. 2

Niet elk genoemd bedrijf is op dezelfde manier getroffen

Ook Viasat, Charter en Windstream worden in berichtgeving over de campagne genoemd. Toch moeten die bedrijven niet automatisch als identiek gecompromitteerd worden beschouwd. De openbare onderzoeken en meldingen verschillen per onderneming in wat precies is vastgesteld. Voor AT&T en Verizon is de publieke bevestiging het duidelijkst; voor andere bedrijven kan het gaan om een doelwit, een poging tot toegang of een aanwijzing uit een breder onderzoek. 2

T-Mobile wist de aanval, voor zover publiek bekend, vroeg genoeg af te schermen om een grootschalige toegang tot klantgegevens te voorkomen. De episode laat tegelijk zien hoe kwetsbaar verbonden telecominfrastructuur kan zijn: een aanvaller hoeft niet altijd rechtstreeks de kern van een netwerk binnen te dringen als een gekoppelde router of partnerverbinding als springplank kan dienen.