T-Mobile ตรวจจับและขับแฮกเกอร์ Salt Typhoon ออกจากเครือข่ายได้อย่างไรในปี 2024

จากสัญญาณผิดปกติ สู่การตัดสายจริง

T-Mobile ดูเหมือนจะควบคุมการบุกรุกของ Salt Typhoon ได้ก่อนที่เหตุการณ์จะกลายเป็นการเจาะเครือข่ายในวงกว้าง ทีมรักษาความปลอดภัยตรวจพบทราฟฟิกที่ผิดปกติบนระบบภายใน จากนั้นใช้เวลาหลายเดือนตามรอยเส้นทางการเข้าถึง จนพบว่าแฮกเกอร์อาศัยเราเตอร์ที่เชื่อมต่อผ่านเครือข่ายของผู้ให้บริการโทรคมนาคมแบบมีสายรายหนึ่งซึ่งเชื่อมโยงกับ T-Mobile ไม่ใช่การเจาะเข้าระบบที่ลูกค้าใช้งานโดยตรง 34

ในเดือนพฤศจิกายน 2024 เจฟฟ์ ไซมอน ซึ่งขณะนั้นเป็นประธานเจ้าหน้าที่ฝ่ายความปลอดภัยของ T-Mobile พร้อมเพื่อนร่วมทีมอีกสามคน เดินทางไปยังศูนย์ข้อมูลในพื้นที่ใกล้สำนักงานใหญ่ของบริษัทที่เมืองเบลล์วิว รัฐวอชิงตัน เมื่อระบุอุปกรณ์หรือ “กล่อง” ที่ถูกบุกรุกได้แล้ว ทีมงานใช้กรรไกรตัดสายเคเบิลที่เชื่อมต่ออุปกรณ์ดังกล่าวกับเครือข่ายภายนอก

วิธีการนี้ไม่ได้อาศัยแพตช์ซอฟต์แวร์หรือคำสั่งระยะไกล แต่เป็นการแยกอุปกรณ์ออกจากเครือข่ายทางกายภาพทันที ทำให้เส้นทางที่ผู้โจมตีใช้เข้าสู่สภาพแวดล้อมของ T-Mobile ถูกตัดขาด 35

Salt Typhoon คือใคร และโจมตีอะไร

Salt Typhoon เป็นชื่อที่ใช้เรียกกลุ่มผู้ก่อภัยคุกคามทางไซเบอร์ซึ่งหน่วยงานสหรัฐฯ และพันธมิตรระบุว่าเชื่อมโยงกับปฏิบัติการจารกรรมที่ได้รับการสนับสนุนจากสาธารณรัฐประชาชนจีน กลุ่มนี้มุ่งเป้าไปยังโครงสร้างพื้นฐานด้านโทรคมนาคมและอินเทอร์เน็ต เพื่อรักษาการเข้าถึงเครือข่ายเป็นเวลานานและรวบรวมข้อมูลที่มีความอ่อนไหว 12

การโจมตีมีความสำคัญในระดับโครงสร้าง เพราะเครือข่ายโทรคมนาคมไม่ได้มีเพียงข้อมูลการใช้งานทั่วไป แต่ยังอาจเกี่ยวข้องกับเมทาดาทาของการสื่อสาร บันทึกการโทร และระบบที่ใช้รองรับกระบวนการดักรับข้อมูลตามกฎหมาย หากผู้โจมตีเข้าถึงส่วนเหล่านี้ได้ ก็อาจมองเห็นข้อมูลเกี่ยวกับการสื่อสารหรือเป้าหมายด้านการเฝ้าระวังได้ 51

รายงานและการสอบสวนที่เผยแพร่ในช่วงดังกล่าวระบุว่า Salt Typhoon เกี่ยวข้องกับการเจาะบริษัทโทรคมนาคมในสหรัฐฯ 9 ราย และองค์กรทั่วโลกมากกว่า 200 แห่งในปี 2024 แต่ตัวเลขดังกล่าวอาจแตกต่างกันตามแหล่งข้อมูล รวมถึงความแตกต่างระหว่างคำว่า “ถูกเล็งเป้า” “ถูกเข้าถึง” และ “ถูกเจาะสำเร็จ” 51

บริษัทใดได้รับผลกระทบบ้าง

หน่วยงานและสื่อรายงานชื่อบริษัทหลายแห่งที่ถูกเชื่อมโยงกับแคมเปญนี้ โดย AT&T และ Verizon ยืนยันต่อสาธารณะว่าระบบของพวกเขาตกเป็นเป้าหมาย ขณะที่รายงานและการสอบสวนยังเชื่อมโยงบริษัทอื่น ๆ รวมถึง T-Mobile กับปฏิบัติการดังกล่าว 12

สำหรับชื่อที่มักปรากฏในรายงาน เช่น Viasat, Charter และ Windstream ไม่ควรสรุปว่าทุกบริษัทถูกเจาะในระดับเดียวกัน หลักฐานสาธารณะเกี่ยวกับแต่ละบริษัทมีรายละเอียดและระดับการยืนยันแตกต่างกัน โดยการถูกระบุว่าเป็น “เป้าหมาย” ไม่ได้หมายความโดยอัตโนมัติว่าผู้โจมตีสามารถเข้าถึงข้อมูลลูกค้าหรือเจาะเครือข่ายหลักได้สำเร็จ 2

กรณีของ T-Mobile จึงสะท้อนบทเรียนสำคัญของการป้องกันเครือข่ายยุคใหม่ นั่นคือการตรวจพบสัญญาณเล็ก ๆ การตามรอยอุปกรณ์ที่เชื่อมต่อกันหลายชั้น และการตัดสินใจตอบโต้ให้เด็ดขาด อาจมีความสำคัญไม่แพ้เครื่องมือรักษาความปลอดภัยที่ซับซ้อน เพราะในสถานการณ์ฉุกเฉิน การตัดสายหนึ่งเส้นก็อาจเป็นวิธีหยุดเส้นทางของผู้บุกรุกได้ทันที