T-Mobile 如何靠剪斷一條網絡線，踢走 Salt Typhoon 黑客

T-Mobile 對付疑似 Salt Typhoon 入侵的最後一招，出奇地直接：安全團隊用剪刀剪斷一條連接受感染設備的網絡線。

事情始於 T-Mobile 發現有可疑流量，並懷疑有人透過一間與其互聯的固網服務供應商進入系統。團隊花了數個月追查流量來源，最終在 2024 年 11 月鎖定相關設備，並將它與網絡隔離。134

據報，這次入侵最終只屬有限度事件，而非 T-Mobile 整個網絡被全面攻破。公司表示，黑客在接觸客戶資料前已被阻截；調查人員其後繼續檢查被隔離的設備。134

T-Mobile 如何發現入侵

黑客似乎不是直接由 T-Mobile 的核心網絡闖入。分析人員先在一套經另一間固網供應商連接的系統上，發現異常活動，之後沿着互聯網絡追查流量，最後追到一部已被入侵的路由器或相關網絡設備。89

調查並非一兩日內完成。關鍵不只是發現流量異常，更要確認究竟是哪一件設備出問題，以及斷開它會否在消除黑客通道的同時，造成更大的營運影響。報道指，入侵者曾接觸 T-Mobile 的邊緣路由基礎設施，但未能進入其核心網絡。6

點解要親手剪斷條線？

當團隊鎖定受感染設備後，T-Mobile 首席保安官 Jeff Simon 與另外三名同事，前往公司位於華盛頓州 Bellevue 總部附近一間數據中心。他們找到相關設備，再用剪刀剪斷連接該設備的外部網絡線。812

這個物理動作即時移除了該條網絡路徑。相比只靠遠端指令——指令可能失效，或者黑客仍然找到另一條路——直接斷線可以先將設備隔離，再在沒有持續外部連線的情況下進行調查。1215

「剪線」雖然是最搶眼的細節，但背後其實是很基本的事故應變原則：當防守方無法確定一件連接中的設備是否可信，先控制風險比繼續觀察更加重要。在這宗事件中，硬件斷線是最清晰、最徹底地終止疑似入侵路徑的方法。

Salt Typhoon 背後的大型網絡間諜活動

這宗事件發生在更廣泛的 Salt Typhoon 行動期間。美國官員將這場與中國有關聯的網絡間諜活動，指向與中國國家安全部有聯繫的行動者。相關報道指，行動目標包括電訊商及其他網絡基礎設施，意圖取得通訊資料，以及接觸與合法截取通訊有關的系統。7

受影響的機構遠遠不止一間電訊商。消息指，全球有超過 200 個機構受到影響，當中包括電訊及互聯網公司。AT&T 和 Verizon 均承認曾成為目標，但兩家公司之後表示網絡已安全，亦不再受到威脅。17

其他報道則將 Viasat、Charter Communications 及 Windstream 等公司，與更廣泛的受害機構名單聯繫起來。不過，隨着調查人員發現更多相關組織，整場行動的實際規模仍然持續浮現。72426

T-Mobile 個案對網絡保安有咩啟示？

第三方連線可以變成攻擊通道

T-Mobile 的經歷突顯企業之間「可信」的互聯關係所帶來的風險。攻擊者未必要直接攻破目標最受保護的系統，也可以利用相鄰網絡、路由器或服務供應商關係，作為進入目標的跳板。

T-Mobile 沒有公開涉事固網供應商的名稱，但事件說明，網絡監察不應只停留在公司的邊界之內，亦要涵蓋不同機構之間的互聯通道。610

及早發現，可以限制損害

T-Mobile 據報能夠控制局面，關鍵在於發現得夠早。調查人員在事件演變成大規模入侵前，找到異常活動、追查來源，並在客戶資料被接觸前切斷連線。這並不代表公司完全沒有面對風險，而是按照現有報道，入侵在黑客建立更廣泛存取權限前已被限制。213

有時隔離比遠端修復更可靠

現代事故應變通常涉及登入憑證、防火牆規則、端點工具及軟件修補。但當問題集中在一件特定實體設備，而又可以安全地移除它的外部連線時，最穩妥的第一步可能就是斷線。

剪刀之所以成為這宗事件的標誌性細節，是因為它代表一個不可逆的遏制決定：先停止連線，再完整調查。

更大的教訓

Salt Typhoon 事件反映出，電訊基礎設施對國家級網絡間諜活動有多大吸引力；亦說明一間公司的系統被入侵後，可能透過共享設備和網絡關係，令其他公司承受風險。

T-Mobile 的經歷同時顯示，高度複雜的入侵不一定需要同樣複雜的最後應對。根據現有報道，持續監察、耐心追查，以及果斷隔離，令一條可疑連線未有演變成更大規模的網絡入侵。415

剪斷網絡線只是最後一步。真正重要的防線，是團隊花了數月辨認可疑路徑，並取得足夠把握，確定應該隔離哪一件設備。