T-Mobile 如何用一把剪刀阻斷 Salt Typhoon 駭客？

T-Mobile 是如何發現入侵的？

T-Mobile 的資安團隊並不是一開始就知道駭客身分，而是在內部系統發現異常流量後，展開長時間的路徑追蹤。調查結果顯示，這些連線並非直接從公開的客戶服務系統闖入，而是透過一家與 T-Mobile 互聯的固網電信商網路，轉進 T-Mobile 的網路設備。34

換句話說，攻擊者利用的是電信業者之間原本為了互連、維運或交換流量而存在的信任關係。這類供應鏈與網路互聯風險，也正是電信基礎設施特別難以防守的原因之一。

最後一步：到資料中心剪斷網路線

2024 年 11 月，時任 T-Mobile 資安長 Jeff Simon 與三名資安同事驅車前往公司位於華盛頓州 Bellevue 總部附近的一座資料中心。他們在現場定位到遭利用的路由器或相關網路設備，並用剪刀剪斷連接外部網路的纜線。7910

這個看似簡單、甚至有些「土法煉鋼」的處置，實際上是直接將設備與外界隔離，立即切斷駭客進入 T-Mobile 環境的通道。相較於等待遠端修補或繼續分析連線，物理斷線提供了一個明確且可立即驗證的遏制手段。812

現有報導形容，T-Mobile 及早偵測到活動，因此這次事件看來被限制在相對有限的範圍內，沒有發展成大規模客戶資料或核心網路遭全面控制的事件。1015

Salt Typhoon 是什麼？

Salt Typhoon 是美國政府與資安界用來指稱的一個與中華人民共和國（PRC）政府相關、以長期滲透和情報蒐集為目的的威脅行動或駭客組織。2024 年，美國官員與媒體揭露，該行動入侵或鎖定多家美國電信與網路服務提供商；美國政府後續也確認相關活動正在調查中。12

路透社報導指出，AT&T 與 Verizon 曾公開確認成為 Salt Typhoon 行動的目標，但兩家公司表示目前網路已安全，並正與執法及政府單位合作調查。4其他報導則將 T-Mobile、Lumen Technologies，以及 Viasat、Charter、Windstream 等公司列入受影響或遭鎖定的業者範圍。3811

不過，這些公司不能被視為遭到完全相同程度的入侵。公開調查對個別企業的描述並不一致；有些是「遭鎖定」，有些是確認曾被存取，也有些只是被列為相關行動的潛在受害者。因此，將所有公司一概稱為已遭全面攻破，並不符合目前可確認的證據。24

為何電信網路會成為高價值目標？

電信系統不只是提供通話與上網服務，也處理大量通訊中繼資料、通聯紀錄，以及與合法監聽相關的基礎設施。若攻擊者能長期進入這些環境，便可能取得具有情報價值的通訊資訊，甚至鎖定政府官員或其他特定人士的資料。12

這也是 Salt Typhoon 行動受到高度重視的原因：它攻擊的不是單一企業應用程式，而是連接政府、企業與一般用戶的關鍵通信基礎設施。相關報告將 2024 年的行動描述為影響九家美國電信商及全球超過 200 個組織，但實際數字會因統計的是「目標」、「曾取得存取權」還是「確認遭入侵」而有所不同。158

這起事件留下的資安啟示

T-Mobile 的案例顯示，最關鍵的防線不一定只是更複雜的軟體工具，也包括對異常流量的持續監控、對合作夥伴連線的重新檢視，以及在必要時迅速切斷受影響設備。

同時，事件也凸顯電信業的互聯架構可能形成攻擊跳板。即使攻擊者沒有直接突破某家公司的面向客戶系統，只要能先進入互聯供應商或合作網路，仍可能嘗試轉向其他環境。對電信商而言，如何管理這些信任連線、限制網路邊界設備權限，將是防範長期國家級間諜活動的核心課題。126