T-Mobile phát hiện và loại Salt Typhoon khỏi hệ thống bằng một nhát kéo

Một đường vào không đi thẳng từ hệ thống khách hàng

T-Mobile dường như đã ngăn chặn một vụ xâm nhập có phạm vi hạn chế trước khi nó phát triển thành một cuộc tấn công sâu rộng vào mạng lưới. Đội an ninh mạng của hãng phát hiện hoạt động bất thường trên một hệ thống nội bộ, sau đó mất nhiều tháng để lần theo đường truy cập đến thiết bị mạng bị xâm phạm. 34

Theo các thông tin được công bố, tin tặc không đột nhập trực tiếp qua hệ thống hướng đến khách hàng của T-Mobile. Chúng tiếp cận thông qua một nhà cung cấp đường truyền cố định có kết nối với mạng của T-Mobile, rồi tìm cách đi qua hạ tầng liên kết đó. 34

Vì sao T-Mobile phải dùng đến… một chiếc kéo?

Tháng 11/2024, Jeff Simon—khi đó là giám đốc an ninh của T-Mobile—cùng ba đồng nghiệp đã lái xe đến một trung tâm dữ liệu ở khu vực Bellevue, gần trụ sở của nhà mạng tại bang Washington. Tại đây, họ xác định được bộ định tuyến, hay “chiếc hộp”, có liên quan đến hoạt động đáng ngờ. 57

Thay vì chỉ dựa vào một biện pháp xử lý từ xa, nhóm đã dùng kéo cắt sợi cáp mang kết nối mạng bên ngoài của thiết bị. Hành động đơn giản nhưng dứt khoát này cô lập phần cứng và lập tức cắt đường truy cập của kẻ tấn công vào môi trường T-Mobile. 35

Các báo cáo cho biết nhóm xâm nhập chỉ tiếp cận được hạ tầng định tuyến ở rìa mạng, chưa chạm đến mạng lõi hoặc dữ liệu khách hàng trên diện rộng. Vì vậy, T-Mobile được cho là đã phát hiện và khống chế sự cố trước khi nó trở thành một vụ xâm phạm lớn hơn. 1015

Salt Typhoon và chiến dịch gián điệp viễn thông rộng hơn

Sự cố tại T-Mobile là một phần trong chiến dịch mang tên Salt Typhoon—hoạt động gián điệp mạng được giới chức Mỹ quy cho các tác nhân do Cộng hòa Nhân dân Trung Hoa (PRC) bảo trợ. Chiến dịch nhắm vào hạ tầng viễn thông và internet tại Mỹ cũng như các khu vực khác, với mục tiêu được cho là thu thập dữ liệu liên lạc, nhật ký cuộc gọi và thông tin liên quan đến hoạt động giám sát. 12

AT&T và Verizon đã công khai xác nhận họ từng bị nhắm mục tiêu, đồng thời cho biết mạng lưới của họ đã an toàn và không còn hoạt động của tác nhân cấp nhà nước tại thời điểm công bố. 4 Các bản tin và cuộc điều tra cũng đề cập đến nhiều doanh nghiệp khác, trong đó có T-Mobile, Lumen, Viasat, Charter và Windstream. Tuy nhiên, không nên mặc định rằng tất cả các công ty này đều bị xâm phạm theo cùng một cách hoặc ở cùng một mức độ. 235

Vì sao ngành viễn thông trở thành mục tiêu lớn?

Mạng viễn thông không chỉ vận chuyển cuộc gọi và dữ liệu internet. Hạ tầng của các nhà mạng còn có thể chứa siêu dữ liệu liên lạc, hồ sơ cuộc gọi và các hệ thống liên quan đến việc thực thi pháp luật. Nếu giành được quyền truy cập lâu dài, tin tặc có thể thu thập thông tin về liên lạc và những mục tiêu giám sát tiềm năng. 12

Các tài liệu được trích dẫn mô tả Salt Typhoon là chiến dịch đã xâm phạm chín nhà mạng Mỹ và hơn 200 tổ chức trên toàn cầu trong năm 2024. Dù vậy, con số chính xác và danh sách nạn nhân còn phụ thuộc vào cách từng nguồn phân biệt giữa “bị nhắm mục tiêu”, “bị truy cập” và “bị xâm phạm”. 15

Vụ T-Mobile cho thấy một điểm đáng chú ý của các cuộc tấn công chuỗi cung ứng: kẻ xâm nhập có thể lợi dụng mối liên kết giữa các nhà cung cấp thay vì phá thẳng vào hệ thống trung tâm. Trong tình huống đó, việc xác định đúng thiết bị trung gian và cô lập nó—kể cả bằng cách cắt cáp—có thể quan trọng không kém các công cụ phòng thủ phần mềm.