เบื้องหลัง T-Mobile ตัดสายเครือข่ายด้วยกรรไกร เพื่อหยุดแฮกเกอร์ Salt Typhoon

การรับมือภัยไซเบอร์ของ T-Mobile ในปี 2024 จบลงด้วยวิธีที่ตรงไปตรงมาอย่างไม่น่าเชื่อ นั่นคือ ทีมความปลอดภัยเดินทางไปยังศูนย์ข้อมูลและใช้กรรไกรตัดสายเครือข่ายที่เชื่อมต่อกับอุปกรณ์ซึ่งถูกสงสัยว่าถูกเจาะระบบ

บริษัทตรวจพบทราฟฟิกผิดปกติที่เข้ามาผ่านผู้ให้บริการเครือข่ายแบบมีสายซึ่งเชื่อมต่อกับระบบของ T-Mobile จากนั้นใช้เวลาหลายเดือนติดตามเส้นทางการเข้าถึง ก่อนแยกระบบดังกล่าวออกในเดือนพฤศจิกายน 2024 134

ผลที่รายงานคือ เหตุการณ์ถูกจำกัดอยู่ในวงแคบ ไม่ได้กลายเป็นการยึดครองเครือข่าย T-Mobile ทั้งระบบ บริษัทระบุว่าสามารถบล็อกผู้โจมตีได้ก่อนเข้าถึงข้อมูลลูกค้า ขณะที่ผู้ตรวจสอบยังคงวิเคราะห์อุปกรณ์ที่ถูกแยกออกมา 134

T-Mobile ตรวจพบการบุกรุกได้อย่างไร

ผู้โจมตีไม่ได้เข้ามาทางเส้นทางตรงที่เห็นได้ชัดเจนเข้าสู่เครือข่ายหลักของ T-Mobile นักวิเคราะห์สังเกตกิจกรรมผิดปกติจากระบบหนึ่ง ซึ่งเชื่อมต่อผ่านผู้ให้บริการเครือข่ายแบบมีสายรายอื่น ก่อนติดตามทราฟฟิกย้อนกลับไปตามจุดเชื่อมต่อ จนพบเราเตอร์หรืออุปกรณ์เครือข่ายที่เกี่ยวข้องกับการบุกรุก 89

การสืบสวนกินเวลาหลายเดือน เพราะโจทย์ไม่ได้มีเพียงการตรวจพบความผิดปกติ แต่ยังต้องระบุให้ได้ว่าอุปกรณ์ใดเป็นต้นทาง และการตัดการเชื่อมต่อจะหยุดการเข้าถึงของผู้โจมตีได้หรือไม่ โดยไม่สร้างปัญหาการให้บริการที่ใหญ่กว่าเดิม

ตามรายงาน ผู้บุกรุกเข้าถึงโครงสร้างพื้นฐานเราเตอร์บริเวณขอบเครือข่าย หรือ edge routing infrastructure แต่ยังไม่ถึงเครือข่ายแกนกลางของ T-Mobile 6

ทำไมทีมจึงเลือกตัดสาย

เมื่อระบุตำแหน่งอุปกรณ์ที่มีปัญหาได้ที่ศูนย์ข้อมูลใกล้สำนักงานใหญ่ของ T-Mobile ในเมืองเบลล์วิว รัฐวอชิงตัน เจฟฟ์ ไซมอน ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยในขณะนั้น และเพื่อนร่วมงานอีก 3 คนจึงเดินทางไปยังสถานที่ดังกล่าว พวกเขาพบอุปกรณ์เป้าหมายและใช้กรรไกรตัดสายเครือข่ายภายนอกที่เชื่อมต่อกับอุปกรณ์นั้น 812

การตัดสายทำให้เส้นทางเครือข่ายถูกปิดลงทันที แทนที่จะพึ่งพาคำสั่งจากระยะไกลซึ่งอาจทำงานไม่สำเร็จ หรือเปิดโอกาสให้ผู้โจมตีใช้ช่องทางสำรอง ทีมงานจึงแยกอุปกรณ์ออกจากระบบเพื่อเก็บหลักฐานและตรวจสอบต่อ โดยไม่ปล่อยให้การเชื่อมต่อยังคงทำงานอยู่ 1215

รายละเอียดเรื่องกรรไกรอาจฟังดูเหมือนฉากในภาพยนตร์ แต่หลักการเบื้องหลังจริงจังมาก นั่นคือ เมื่อฝ่ายป้องกันยังไม่มั่นใจว่าอุปกรณ์ที่เชื่อมต่ออยู่นั้นปลอดภัย การควบคุมเหตุการณ์ต้องมาก่อน ในกรณีนี้ การตัดการเชื่อมต่อทางกายภาพเป็นวิธีที่ชัดเจนที่สุดในการยุติเส้นทางเข้าถึงที่น่าสงสัย

Salt Typhoon กับปฏิบัติการจารกรรมวงกว้าง

เหตุการณ์ของ T-Mobile เกิดขึ้นท่ามกลางแคมเปญ Salt Typhoon ซึ่งเป็นปฏิบัติการจารกรรมทางไซเบอร์ที่เชื่อมโยงกับจีน เจ้าหน้าที่สหรัฐฯ เชื่อมโยงกลุ่มผู้ปฏิบัติการดังกล่าวกับหน่วยงานที่เกี่ยวข้องกับกระทรวงความมั่นคงแห่งรัฐของจีน รายงานระบุว่าแคมเปญนี้มุ่งเป้าไปที่ผู้ให้บริการโทรคมนาคมและโครงสร้างพื้นฐานเครือข่าย เพื่อเก็บข้อมูลการสื่อสารและเข้าถึงระบบที่เกี่ยวข้องกับการดักรับข้อมูลตามกระบวนการทางกฎหมาย 7

ขอบเขตของปฏิบัติการไม่ได้จำกัดอยู่ที่ผู้ให้บริการรายเดียว แหล่งข่าวระบุว่ามีองค์กรทั่วโลกได้รับผลกระทบมากกว่า 200 แห่ง รวมถึงบริษัทโทรคมนาคมและอินเทอร์เน็ต AT&T และ Verizon ยอมรับว่าระบบของตนตกเป็นเป้าหมาย แม้ต่อมาทั้งสองบริษัทจะระบุว่าเครือข่ายปลอดภัยและไม่อยู่ภายใต้ภัยคุกคามอีกแล้ว 17

รายงานอื่น ๆ ยังเชื่อมโยง Viasat, Charter Communications และ Windstream เข้ากับกลุ่มองค์กรที่ได้รับผลกระทบในวงกว้าง โดยเตือนว่าขอบเขตที่แท้จริงของแคมเปญยังคงถูกเปิดเผยเพิ่มเติม ขณะที่นักสืบสวนค้นพบองค์กรที่เกี่ยวข้องมากขึ้น 72426

บทเรียนด้านความปลอดภัยเครือข่ายจากกรณีนี้

การเชื่อมต่อจากบุคคลที่สามอาจกลายเป็นทางผ่านของผู้โจมตี

กรณีของ T-Mobile แสดงให้เห็นความเสี่ยงจากการเชื่อมต่อระหว่างบริษัทต่าง ๆ ผู้โจมตีไม่จำเป็นต้องเจาะระบบที่ได้รับการปกป้องมากที่สุดขององค์กรโดยตรง หากสามารถใช้เราเตอร์ เครือข่ายข้างเคียง หรือความสัมพันธ์ด้านบริการเป็นทางผ่านไปยังเป้าหมายได้

ผู้ให้บริการแบบมีสายที่ไม่ได้รับการเปิดเผยชื่อในกรณีนี้จึงเป็นตัวอย่างว่า การเฝ้าระวังต้องครอบคลุมจุดเชื่อมต่อระหว่างองค์กร ไม่ใช่หยุดอยู่แค่แนวป้องกันของบริษัทตัวเอง 610

การตรวจพบเร็วช่วยจำกัดความเสียหาย

ข้อได้เปรียบสำคัญของ T-Mobile คือจังหวะเวลา นักสืบสวนพบกิจกรรมผิดปกติก่อนจะกลายเป็นการยึดครองระบบในวงกว้าง จากนั้นติดตามเส้นทางและตัดการเชื่อมต่อก่อนที่ข้อมูลลูกค้าจะถูกเข้าถึง

นั่นไม่ได้หมายความว่า T-Mobile ไม่มีความเสี่ยง แต่ตามรายงานที่มีอยู่ เหตุการณ์ถูกควบคุมไว้ก่อนที่ผู้โจมตีจะสร้างการเข้าถึงในวงกว้างได้ 213

บางครั้งการแยกฮาร์ดแวร์เชื่อถือได้กว่าการแก้ไขจากระยะไกล

การรับมือเหตุการณ์ไซเบอร์ในปัจจุบันมักใช้ทั้งการเปลี่ยนข้อมูลรับรอง การปรับกฎไฟร์วอลล์ เครื่องมือรักษาความปลอดภัยบนอุปกรณ์ปลายทาง และการติดตั้งแพตช์ซอฟต์แวร์ แต่หากสงสัยอุปกรณ์ทางกายภาพเครื่องใดเครื่องหนึ่ง และสามารถถอดการเชื่อมต่อได้อย่างปลอดภัย การตัดสายอาจเป็นขั้นตอนแรกที่แน่นอนที่สุด

กรรไกรของ T-Mobile กลายเป็นภาพจำของเหตุการณ์ เพราะสะท้อนการตัดสินใจแบบย้อนกลับไม่ได้ นั่นคือ หยุดเส้นทางเชื่อมต่อก่อน แล้วค่อยตรวจสอบรายละเอียดทั้งหมดภายหลัง

บทเรียนที่ใหญ่กว่านั้น

Salt Typhoon ทำให้เห็นว่าโครงสร้างพื้นฐานโทรคมนาคมเป็นเป้าหมายที่มีมูลค่าสูงสำหรับการจารกรรมที่ได้รับการสนับสนุนจากรัฐ และการถูกเจาะระบบขององค์กรหนึ่งอาจสร้างความเสี่ยงต่อองค์กรอื่นผ่านระบบที่ใช้ร่วมกันหรือความสัมพันธ์ด้านเครือข่าย

ประสบการณ์ของ T-Mobile ยังชี้ว่า การบุกรุกที่มีความซับซ้อนไม่จำเป็นต้องจบลงด้วยมาตรการตอบโต้ที่ซับซ้อนเสมอไป จากข้อมูลที่มีอยู่ การเฝ้าระวังอย่างต่อเนื่อง การติดตามเส้นทางอย่างรอบคอบ และการแยกอุปกรณ์อย่างเด็ดขาด ช่วยป้องกันไม่ให้การเชื่อมต่อที่น่าสงสัยขยายตัวเป็นการเจาะเครือข่ายครั้งใหญ่ 415

การตัดสายเป็นเพียงขั้นตอนสุดท้าย สิ่งที่สำคัญกว่าคือการสืบสวนที่ดำเนินมาหลายเดือน จนทีมความปลอดภัยระบุเส้นทางผิดปกติและมีความมั่นใจเพียงพอที่จะตัดการเชื่อมต่ออุปกรณ์ได้อย่างถูกจุด