T-Mobile dùng kéo cắt cáp để chặn nhóm hacker Salt Typhoon

Câu chuyện T-Mobile dùng kéo cắt cáp để đẩy hacker khỏi mạng nghe giống một cảnh trong phim, nhưng đây lại là biện pháp ứng phó thực tế của nhà mạng Mỹ trước một vụ xâm nhập bị nghi liên quan đến Salt Typhoon.

Sau nhiều tháng truy tìm, đội an ninh của T-Mobile đã lần ra thiết bị có vấn đề tại một trung tâm dữ liệu gần trụ sở công ty ở Bellevue, bang Washington. Đến tháng 11/2024, Jeff Simon, khi đó là giám đốc an ninh thông tin của T-Mobile, cùng ba đồng nghiệp đã tới hiện trường và cắt đứt sợi cáp mạng bên ngoài nối với thiết bị này. 134

Kết quả được báo cáo là một vụ xâm nhập có giới hạn, thay vì sự cố lan rộng trên toàn bộ mạng T-Mobile. Công ty cho biết đã chặn kẻ tấn công trước khi chúng tiếp cận dữ liệu khách hàng, trong khi thiết bị bị cô lập tiếp tục được điều tra. 134

T-Mobile phát hiện đường xâm nhập như thế nào?

Kẻ tấn công dường như không đi thẳng vào mạng lõi của T-Mobile. Các chuyên gia phân tích nhận thấy hoạt động bất thường liên quan đến một hệ thống kết nối thông qua một nhà cung cấp mạng có dây khác. Họ lần theo luồng dữ liệu qua điểm kết nối giữa hai mạng và cuối cùng tìm thấy một bộ định tuyến hoặc thiết bị mạng liên quan đã bị xâm nhập. 89

Quá trình này kéo dài nhiều tháng. Thách thức không chỉ nằm ở việc phát hiện lưu lượng bất thường, mà còn là xác định chính xác thiết bị chịu trách nhiệm và đánh giá liệu việc ngắt kết nối có thể loại bỏ đường truy cập của hacker mà không gây ra vấn đề vận hành lớn hơn hay không. Các bản tin cho biết nhóm xâm nhập đã chạm tới hạ tầng định tuyến ở lớp biên, nhưng chưa đi vào mạng lõi của T-Mobile. 6

Một điểm đáng chú ý là nhà mạng không công bố tên nhà cung cấp mạng có dây mà kẻ tấn công được cho là đã lợi dụng. Điều này cho thấy các mối quan hệ kết nối giữa những doanh nghiệp viễn thông có thể trở thành một mắt xích quan trọng trong cuộc điều tra.

Vì sao đội ngũ an ninh lại cắt cáp?

Sau khi xác định được thiết bị bị xâm nhập tại trung tâm dữ liệu gần trụ sở T-Mobile ở Bellevue, Jeff Simon cùng ba đồng nghiệp đã tới tận nơi. Họ tìm thấy thiết bị và dùng kéo cắt đứt sợi cáp mạng bên ngoài đang nối nó với hệ thống. 812

Động tác này lập tức loại bỏ đường kết nối đó. Thay vì chỉ gửi lệnh từ xa—một phương án có thể thất bại hoặc không ngăn được kẻ tấn công sử dụng đường truy cập thay thế—đội ngũ đã cô lập phần cứng để tiếp tục điều tra mà không duy trì kết nối đang hoạt động. 1215

Chi tiết dùng kéo gây ấn tượng vì quá trực diện, nhưng nguyên tắc phía sau lại rất quen thuộc trong ứng phó sự cố: khi không thể tin tưởng một thiết bị đang kết nối mạng, ưu tiên đầu tiên là khống chế và cô lập nó. Trong trường hợp này, ngắt kết nối vật lý là cách rõ ràng nhất để chấm dứt đường truy cập bị nghi ngờ.

Salt Typhoon là chiến dịch lớn đến mức nào?

Vụ việc xảy ra trong bối cảnh chiến dịch gián điệp mạng Salt Typhoon, hoạt động mà các quan chức Mỹ liên hệ với những đối tượng có quan hệ với Bộ An ninh Nhà nước Trung Quốc. Chiến dịch được cho là nhắm vào các nhà mạng và hạ tầng mạng liên quan, nhằm thu thập thông tin liên lạc và tiếp cận các hệ thống phục vụ hoạt động nghe lén hợp pháp. 7

Phạm vi của chiến dịch vượt xa một nhà mạng đơn lẻ. Các nguồn tin mô tả hơn 200 tổ chức trên toàn cầu bị ảnh hưởng, bao gồm nhiều công ty viễn thông và internet. AT&T và Verizon từng xác nhận hệ thống của họ bị nhắm tới, nhưng sau đó cho biết mạng lưới đã an toàn và không còn bị đe dọa. 17

Các thông tin khác cũng liên hệ Viasat, Charter Communications và Windstream với nhóm nạn nhân rộng hơn. Tuy nhiên, phạm vi đầy đủ của chiến dịch vẫn tiếp tục được làm rõ khi các nhà điều tra xác định thêm những tổ chức có thể bị ảnh hưởng. 72426

Ba bài học an ninh mạng từ vụ T-Mobile

Kết nối với bên thứ ba có thể trở thành đường tấn công

Vụ T-Mobile cho thấy một hệ thống không nhất thiết phải bị tấn công trực tiếp vào phần được bảo vệ nghiêm ngặt nhất. Hacker có thể tìm cách đi qua một mạng lân cận, bộ định tuyến hoặc mối quan hệ dịch vụ giữa các doanh nghiệp để tiếp cận mục tiêu.

Nhà cung cấp mạng có dây không được nêu tên trong vụ việc là lời nhắc rằng hoạt động giám sát không nên dừng ở “biên giới” của một công ty. Các điểm kết nối liên mạng và hạ tầng của đối tác cũng cần được theo dõi chặt chẽ. 610

Phát hiện sớm giúp giới hạn thiệt hại

Lợi thế lớn của T-Mobile nằm ở thời điểm phát hiện. Nhân viên điều tra nhận ra hoạt động đáng ngờ, lần theo đường đi của nó và cắt kết nối trước khi dữ liệu khách hàng bị tiếp cận. Điều đó không có nghĩa nhà mạng hoàn toàn không gặp rủi ro; theo các thông tin hiện có, sự cố được khống chế trước khi hacker có thể mở rộng quyền truy cập trên mạng. 213

Cô lập vật lý đôi khi đáng tin cậy hơn xử lý từ xa

Ứng phó sự cố hiện đại thường dựa vào thông tin xác thực, quy tắc tường lửa, công cụ bảo vệ thiết bị đầu cuối và bản vá phần mềm. Nhưng khi một thiết bị vật lý cụ thể bị nghi ngờ và có thể ngắt kết nối an toàn, rút hoặc cắt cáp có thể là bước đầu tiên chắc chắn nhất.

Cặp kéo trở thành hình ảnh đáng nhớ vì nó thể hiện một quyết định cô lập dứt khoát: chặn đường liên lạc trước, điều tra kỹ sau.

Sợi cáp chỉ là bước cuối cùng

Salt Typhoon cho thấy hạ tầng viễn thông hấp dẫn như thế nào đối với hoạt động gián điệp được hậu thuẫn cấp nhà nước. Chiến dịch cũng cho thấy việc một tổ chức bị xâm nhập có thể tạo rủi ro cho các tổ chức khác thông qua hệ thống dùng chung và những mối liên kết mạng vốn được coi là đáng tin cậy.

Trường hợp T-Mobile đồng thời nhấn mạnh rằng một cuộc tấn công tinh vi không phải lúc nào cũng cần một màn đáp trả phức tạp. Giám sát bền bỉ, lần dấu cẩn trọng và cô lập đúng thiết bị đã giúp ngăn một kết nối đáng ngờ trở thành vụ xâm nhập mạng quy mô lớn hơn, theo các tường thuật hiện có. 415

Cắt cáp chỉ là bước kết thúc. Phần quan trọng hơn là nhiều tháng điều tra trước đó—quá trình giúp đội an ninh nhận diện đúng đường truy cập và đủ chắc chắn để cô lập thiết bị cần thiết.