Como a T-Mobile isolou hackers do Salt Typhoon cortando um cabo de rede

A resposta da T-Mobile a uma suposta invasão ligada ao Salt Typhoon terminou com uma medida surpreendentemente direta: uma equipe foi até um data center e cortou fisicamente o cabo de rede que alimentava o equipamento comprometido. A operadora identificou tráfego suspeito vindo por meio de uma empresa parceira de telefonia fixa e passou meses rastreando a rota até isolar o sistema, em novembro de 2024. 134

Segundo os relatos disponíveis, o resultado foi uma intrusão limitada, e não um comprometimento generalizado da rede da T-Mobile. A empresa afirmou que os invasores foram bloqueados antes de chegar aos dados dos clientes, enquanto os investigadores continuaram analisando o equipamento isolado. 134

Como a T-Mobile detectou a invasão

Os invasores não parecem ter entrado por uma rota direta e evidente até o núcleo da rede da T-Mobile. Analistas identificaram uma atividade anômala associada a um sistema conectado por meio de outro provedor de telefonia fixa. A partir daí, seguiram o tráfego pela interconexão até chegar a um roteador comprometido — ou a um equipamento de rede relacionado. 89

A investigação levou meses. O desafio não era apenas perceber que havia algo estranho, mas descobrir qual dispositivo estava envolvido e avaliar se desligá-lo eliminaria o acesso dos invasores sem provocar um problema operacional maior. Os relatos indicam que os hackers chegaram à infraestrutura de roteamento na borda da rede, mas não ao núcleo da rede da T-Mobile. 6

Por que a equipe cortou o cabo

Depois que o equipamento comprometido foi localizado em um data center perto da sede da T-Mobile em Bellevue, no estado de Washington, o então diretor de segurança da informação da operadora, Jeff Simon, foi ao local com outros três colegas. Eles encontraram o dispositivo e usaram uma tesoura para cortar o cabo externo de rede conectado a ele. 812

O corte removeu imediatamente aquela rota de comunicação. Em vez de confiar em um comando remoto que poderia falhar — ou deixar aberta uma rota alternativa para o invasor —, a equipe isolou o equipamento para que ele pudesse ser investigado sem manter a conexão ativa. 1215

O detalhe da tesoura chama atenção, mas o princípio é mais importante: em uma resposta a incidentes, a contenção vem primeiro quando não há certeza de que um dispositivo conectado é confiável. Nesse caso, uma desconexão física foi a forma mais clara de encerrar o caminho de acesso suspeito.

A campanha mais ampla do Salt Typhoon

O episódio ocorreu durante a campanha de espionagem conhecida como Salt Typhoon, uma operação associada a atores ligados ao Ministério da Segurança do Estado da China, segundo autoridades americanas. Os alvos incluíam empresas de telecomunicações e infraestruturas de rede, com o objetivo de obter informações de comunicações e acesso a sistemas relacionados à interceptação legal. 7

A dimensão relatada foi muito maior do que a de um único incidente. Fontes descrevem mais de 200 organizações afetadas no mundo, entre empresas de telecomunicações e internet. AT&T e Verizon confirmaram que seus sistemas haviam sido alvos, embora tenham afirmado posteriormente que suas redes estavam seguras e não estavam mais sob ameaça. 17

Outros relatos incluíram empresas como Viasat, Charter Communications e Windstream no conjunto mais amplo de possíveis vítimas. As mesmas reportagens ressaltaram que o alcance total da campanha ainda estava sendo esclarecido à medida que os investigadores identificavam novas organizações. 72426

O que o caso ensina sobre segurança de redes

Conexões de terceiros também podem virar portas de entrada

O relato da T-Mobile destaca o risco criado por conexões consideradas confiáveis entre empresas. Um invasor não precisa comprometer diretamente os sistemas mais protegidos de uma organização se conseguir usar um roteador, uma rede vizinha ou uma relação de serviço como ponte até o alvo. O provedor de telefonia fixa não identificado no caso mostra por que o monitoramento precisa abranger as interconexões, e não apenas o perímetro da própria empresa. 610

Detectar cedo reduz o impacto

A vantagem da T-Mobile, segundo os relatos, foi o momento da detecção. Os investigadores encontraram a atividade suspeita antes que ela se transformasse em um comprometimento generalizado, rastrearam a rota e cortaram a conexão antes que os invasores alcançassem dados de clientes. Isso não significa que não houvesse risco; significa que a invasão foi contida antes que os hackers conseguissem ampliar o acesso, de acordo com as informações disponíveis. 213

Às vezes, o isolamento físico é mais confiável

A resposta moderna a incidentes costuma envolver credenciais, regras de firewall, ferramentas para endpoints e atualizações de software. Mas, quando um equipamento físico específico é suspeito e sua conexão externa pode ser removida com segurança, desconectá-lo pode ser a primeira medida mais confiável.

A tesoura virou a imagem marcante da história porque simbolizou uma decisão definitiva de contenção: interromper o vínculo primeiro e investigar tudo depois.

A lição maior

O Salt Typhoon expôs o interesse de operações de espionagem patrocinadas por Estados na infraestrutura de telecomunicações — e mostrou como o comprometimento de uma empresa pode criar riscos para outras por meio de sistemas compartilhados e relações de rede. A experiência da T-Mobile também indica que uma invasão sofisticada nem sempre exige uma resposta final igualmente sofisticada.

Com base nos relatos disponíveis, o monitoramento persistente, o rastreamento cuidadoso e o isolamento decidido impediram que uma conexão suspeita se transformasse em uma violação mais ampla da rede. 415

Cortar o cabo foi apenas a última etapa. A defesa mais importante foi o trabalho de meses que identificou o caminho suspeito e deu à equipe de segurança confiança suficiente para isolar o equipamento correto.