T-Mobile 如何靠剪斷一條網線，將 Salt Typhoon 駭客逐出網絡

T-Mobile 對一次疑似 Salt Typhoon 入侵的處理，最後採取了極為直接的資安措施：團隊親自剪斷連接受感染設備的網絡線。

電訊商發現可疑流量是經由一家相連的固網服務商進入，之後花了數月追查這條存取路徑，並在 2024 年 11 月將相關系統隔離。 134

據報，這次事件最終只形成有限度入侵，而非 T-Mobile 網絡被全面攻破。公司表示，攻擊者在接觸客戶資料前已被阻截；調查人員其後仍繼續檢查被隔離的設備。 134

T-Mobile 如何發現入侵

攻擊者似乎並非直接闖入 T-Mobile 的核心網絡。分析人員先發現一套經另一家固網服務商連接的系統出現異常活動，再沿著公司之間的互連路徑追查流量，最終鎖定一部遭入侵的路由器或相關網絡設備。 89

這項調查歷時數月。難點不只是辨認異常活動，而是要確認究竟哪一部設備出了問題，以及在不引發更大營運事故的前提下，切斷它是否足以阻止攻擊者。報道指，入侵者曾觸及網絡邊緣的路由基礎設施，但沒有進入 T-Mobile 的核心網絡。 6

為甚麼要親自剪斷網線？

當團隊在 T-Mobile 位於華盛頓州 Bellevue 總部附近的一座資料中心找到遭入侵設備後，時任首席安全官 Jeff Simon 與三名同事親自前往現場。他們定位到相關設備，再用剪刀剪斷連接設備的外部網絡線。 812

這個實體切斷動作立即移除了該條網絡路徑。與其依賴可能失效的遠端指令，或冒險讓攻擊者透過其他路線繼續活動，團隊選擇先把設備與網絡隔離，再在沒有持續連線的情況下進行調查。 1215

剪刀這個戲劇性細節固然吸睛，但背後的資安原則更重要：當防守方無法確定一部已連線設備是否可信，首要任務就是遏止擴散。在這起事件中，簡單的硬件斷線是終止疑似存取路徑最清晰直接的方法。

Salt Typhoon 背後的更大規模行動

這起事件發生在更廣泛的 Salt Typhoon 網絡間諜活動期間。美國官員將這個與中國有關的行動，歸因於與中國國家安全部有關聯的行動者。報道指，這場活動以電訊商及相關網絡基礎設施為目標，意圖取得通訊資料，以及進入與合法攔截系統相關的設備。 7

受影響範圍遠不止一家電訊商。消息指，全球受影響組織超過 200 個，當中包括電訊及互聯網公司。AT&T 和 Verizon 均承認曾成為目標，但兩家公司其後表示，其網絡已安全，亦不再受到威脅。 17

其他報道則將 Viasat、Charter Communications 及 Windstream 等公司，列入更廣泛的受害組織名單。相關報道同時指出，隨著調查人員陸續發現更多受影響機構，這場行動的完整規模仍在逐步浮現。 72426

這起事件對網絡安全有何啟示

第三方連線可能變成攻擊通道

T-Mobile 的經歷凸顯企業之間受信任連線所帶來的風險。攻擊者不一定要直接攻破一家公司防護最嚴密的系統；只要能利用相鄰網絡、路由器或服務合作關係，就可能找到通往目標的路徑。

T-Mobile 事件中的那家未具名固網服務商，正好說明監控範圍不應只停留在企業自身的網絡邊界，也必須涵蓋不同公司之間的互連。 610

及早發現，有助限制損害

T-Mobile 據報能夠控制局面的關鍵，在於發現得夠早。調查人員在事件演變成大規模入侵前，已發現異常活動、追蹤流量來源，並在攻擊者接觸客戶資料前切斷連線。

這不代表電訊商完全沒有面對風險，而是根據目前報道，入侵在攻擊者建立更廣泛存取權限前已被控制。 213

實體隔離有時比遠端修復更可靠

現代事故應變通常會用到帳戶憑證、防火牆規則、端點工具及軟件修補。但如果懷疑的是一部具體的實體設備，而移除其外部連線又不會造成無法接受的營運影響，最可靠的第一步可能就是直接拔掉或切斷連線。

T-Mobile 的剪刀之所以成為新聞焦點，是因為它象徵一個不可逆的遏制決定：先停止連線，再徹底調查。

更大的教訓

Salt Typhoon 事件揭示，電訊基礎設施對國家背景的網絡間諜活動極具吸引力；同時，一家公司遭入侵，也可能透過共享系統及網絡關係，將風險傳給其他企業。

T-Mobile 的經歷亦說明，複雜的入侵不一定需要複雜的最後一步來處理。根據目前可取得的報道，持續監控、細緻追查，以及果斷隔離，令一條可疑連線未有演變成更大規模的網絡入侵。 415

剪斷網線只是最後一個動作。真正重要的防線，是團隊花了數月找出可疑路徑，並取得足夠把握，確定應該隔離哪一套設備。