A conexão física que interrompeu o ataque do Salt Typhoon à T-Mobile

A T-Mobile parece ter contido uma intrusão limitada do Salt Typhoon antes que ela se transformasse em uma violação ampla de sua rede. Investigadores encontraram atividade suspeita, rastrearam o caminho até um roteador alcançado por meio de uma operadora de telefonia fixa conectada à T-Mobile e, por fim, interromperam fisicamente essa conexão. 12

O que a equipe da T-Mobile descobriu

A equipe de cibersegurança passou meses investigando tráfego anômalo em um sistema interno. Segundo os relatos disponíveis, os invasores não entraram diretamente pelos sistemas voltados aos clientes: eles aproveitaram a rede de uma empresa de telefonia fixa interconectada com a T-Mobile para chegar à infraestrutura da operadora. 34

A descoberta foi especialmente difícil porque envolvia equipamentos de rede e uma conexão entre empresas, em vez de um acesso evidente a um computador ou aplicativo. O roteador suspeito funcionava como um ponto de passagem para a atividade dos invasores.

A decisão de cortar o cabo

Em novembro de 2024, Jeff Simon, então diretor de segurança da informação da T-Mobile, e outros três profissionais da equipe foram de carro até um data center na região de Bellevue, no estado de Washington. No local, identificaram o roteador — ou “caixa” — comprometido e cortaram com uma tesoura o cabo que levava sua conexão para fora da rede. 35

A medida isolou fisicamente o equipamento e encerrou imediatamente o caminho usado pelos hackers para acessar o ambiente da T-Mobile. Em vez de depender apenas de uma correção remota ou de uma regra de firewall, a equipe retirou do ar a ligação que sustentava a intrusão.

O que foi o Salt Typhoon

O Salt Typhoon é descrito por autoridades americanas como um grupo patrocinado pelo Estado chinês envolvido em espionagem cibernética. A campanha atingiu redes de operadoras de telecomunicações e provedores de internet nos Estados Unidos e em outros países, com o objetivo aparente de obter informações de comunicações e dados relacionados a atividades de vigilância. 12

A relevância do caso vai além de uma única empresa. Redes de telecomunicações podem dar acesso a metadados de chamadas, registros de comunicação e infraestrutura associada a interceptações legais. Por isso, um invasor que consiga permanecer nesse tipo de ambiente pode coletar informações valiosas mesmo sem assumir o controle completo da rede de uma operadora.

Reportagens e investigações descrevem uma operação que comprometeu nove empresas americanas de telecomunicações e mais de 200 organizações no mundo em 2024. Ainda assim, a contagem exata varia conforme a fonte e conforme a distinção entre empresas que foram apenas alvo, tiveram algum acesso obtido ou sofreram uma invasão confirmada. 51

Quais empresas foram afetadas?

AT&T e Verizon confirmaram publicamente que foram alvo da operação e disseram que suas redes estavam seguras no momento dos comunicados. 2 Outras empresas, incluindo T-Mobile e Lumen Technologies, foram relacionadas à campanha por reportagens, investigações e materiais de segurança.

Isso não significa, porém, que todas tenham sofrido o mesmo tipo ou grau de comprometimento. No caso da T-Mobile, as informações disponíveis apontam para uma tentativa de acesso detectada e contida antes que os invasores alcançassem dados de clientes ou provocassem uma violação ampla da rede. 34

As empresas citadas em algumas listas — como Viasat, Charter e Windstream — também não devem ser tratadas automaticamente como vítimas idênticas. As evidências públicas variam de uma companhia para outra e nem sempre estabelecem se houve apenas uma tentativa, acesso parcial ou invasão confirmada. 2

Por que o episódio chama atenção

O caso da T-Mobile mostra que a segurança de uma rede depende também das conexões com parceiros, data centers e outros provedores. Uma empresa pode manter seus sistemas principais protegidos e, ainda assim, expor uma rota de acesso por meio de equipamentos ou interligações externas.

A solução final foi simples na aparência, mas resultado de uma investigação prolongada: localizar o equipamento certo e cortar a conexão que permitia a passagem dos invasores. O episódio também reforçou a preocupação de autoridades americanas com o uso de redes de telecomunicações em campanhas de espionagem de longo prazo. 12