T-Mobile cortó físicamente un cable para expulsar a hackers chinos de su red

T-Mobile detectó actividad vinculada con Salt Typhoon durante la ola de intrusiones contra las telecomunicaciones estadounidenses y terminó aislando físicamente el equipo comprometido al cortar el cable que lo conectaba con el exterior.
***

• Salt Typhoon, un grupo de hackers respaldado por el Gobierno chino, comprometió a cientos de compañías de telecomunicaciones, internet y centros de datos.
• La campaña buscaba registros telefónicos e información sobre altos funcionarios estadounidenses, incluidos los entonces candidatos presidenciales.
• T-Mobile evitó una brecha a gran escala después de meses de búsqueda y aisló el sistema sospechoso en un centro de datos de Bellevue, Washington.

T-Mobile cortó físicamente un cable para expulsar a hackers chinos de su red

T-Mobile logró evitar una brecha de gran escala en su red durante una ola de intrusiones contra la industria estadounidense de telecomunicaciones, pero la respuesta final tuvo un carácter tan directo como inusual: personal de ciberseguridad viajó hasta un centro de datos y cortó el cable de un sistema comprometido. La medida permitió aislar el equipo sospechoso del mundo exterior después de que la compañía detectara actividad atribuida al grupo Salt Typhoon, respaldado por el Gobierno chino.

El caso muestra cómo una operación de espionaje digital puede terminar enfrentada con una solución física cuando los controles convencionales no bastan para contener el acceso. Según un reportaje de Bloomberg citado por TechCrunch, los especialistas de T-Mobile pasaron meses buscando a los atacantes dentro de su red antes de identificar el comportamiento anómalo que condujo hasta el dispositivo intervenido.

Una campaña contra las telecomunicaciones

Salt Typhoon fue identificado como el grupo responsable de una campaña que afectó a cientos de compañías telefónicas, grandes empresas de internet y proveedores de centros de datos. El objetivo principal consistía en recopilar registros telefónicos y obtener información relacionada con altos funcionarios del Gobierno de Estados Unidos, incluidos quienes entonces competían por la Presidencia.

La intrusión se produjo en un momento de elevada sensibilidad para las comunicaciones políticas y gubernamentales estadounidenses, debido a que los registros telefónicos pueden revelar contactos, patrones de comunicación y vínculos entre personas. La información disponible no señala que T-Mobile haya sufrido una extracción masiva de datos, pero sí confirma que la empresa detectó actividad sospechosa asociada con la campaña.

Entre las compañías mencionadas dentro de la ola de ataques aparecen AT&T y Verizon, dos de los mayores operadores de telefonía de Estados Unidos. También figuraron Viasat, dedicada a las comunicaciones satelitales, y los proveedores de infraestructura de red Charter y Windstream, lo que evidencia el alcance transversal de la operación.

La amplitud de los objetivos convirtió el episodio en un problema de seguridad para toda la infraestructura de comunicaciones, no únicamente para una empresa individual. Cuando una campaña alcanza operadores, redes satelitales y proveedores de centros de datos, los atacantes pueden buscar rutas alternativas para mantener el acceso incluso si una compañía bloquea sus primeros puntos de entrada.

La búsqueda dentro de la red

El personal cibernético de T-Mobile pasó meses tratando de localizar a los hackers sin encontrar inicialmente una pista concluyente. La investigación avanzó cuando los especialistas observaron un comportamiento inusual en uno de los sistemas de la empresa y determinaron que la actividad procedía de otro enrutador perteneciente a una compañía de telecomunicaciones diferente.

T-Mobile no identificó públicamente a esa otra empresa de telecomunicaciones en la información divulgada sobre el incidente. La conexión resultó importante porque desplazó la atención desde los equipos propios hacia un sistema externo que mantenía un vínculo con la red de T-Mobile y podía servir como punto de tránsito para la actividad sospechosa.

La detección temprana permitió que el operador evitara una brecha de mayor escala, aunque el proceso exigió una investigación prolongada y coordinación entre los responsables de seguridad. El episodio también refleja una dificultad habitual en las redes modernas: una organización puede controlar sus propios sistemas, pero no siempre administra directamente los equipos de terceros que se conectan con ellos.

Para los equipos de defensa, identificar una anomalía no siempre significa conocer de inmediato su origen, alcance o propósito. En este caso, la señal inicial condujo a un enrutador situado fuera de la infraestructura directamente controlada por T-Mobile, de modo que la contención dependió de localizar físicamente el equipo y cortar su enlace.

La decisión de cortar el cable

Jeff Simon, jefe de ciberseguridad de T-Mobile, relató a Bloomberg que finalmente se trasladó junto con otras tres personas hasta un centro de datos cercano en Bellevue, Washington. Allí encontraron el sistema comprometido y utilizaron unas tijeras para cortar el cable que conectaba la caja con el mundo exterior.

La escena resume de forma llamativa la combinación entre investigación digital y respuesta física que puede exigir una intrusión persistente. Después de meses de rastreo dentro de la red, el paso decisivo no consistió en desplegar una herramienta sofisticada, sino en interrumpir directamente la conexión del equipo sospechoso.

Cortar el cable no equivale por sí mismo a explicar cómo entraron los atacantes ni qué información pudieron observar antes del aislamiento. Sin embargo, la acción eliminó el enlace que permitía al sistema comunicarse con el exterior y redujo la posibilidad de que los intrusos conservaran acceso a través de ese dispositivo.

La decisión también revela la prioridad operativa que asumió la compañía: contener el riesgo antes de completar todos los detalles públicos de la investigación. En un entorno donde una conexión comprometida puede facilitar movimientos laterales, la interrupción física puede convertirse en una medida de emergencia cuando el equipo responsable considera que el aislamiento lógico no ofrece garantías suficientes.

Implicaciones para la seguridad de las redes

El incidente deja una advertencia para operadores de telecomunicaciones, proveedores de internet y centros de datos que dependen de conexiones entre múltiples organizaciones. La seguridad de una red no depende únicamente de los controles internos, porque un enrutador de un tercero puede convertirse en un puente hacia sistemas que la empresa considera protegidos.

La campaña de Salt Typhoon también pone de relieve el valor estratégico de los registros telefónicos y de los metadatos de comunicación para los grupos de espionaje. Aunque esos datos no siempre contienen el contenido de una conversación, pueden ayudar a reconstruir relaciones, rutinas y contactos de funcionarios, empresas o instituciones sensibles.

El hecho de que varias compañías importantes aparecieran entre los objetivos sugiere que los atacantes buscaban escala y persistencia, no un acceso aislado con impacto limitado. La diversidad de las organizaciones afectadas, desde operadoras móviles hasta redes satelitales y proveedores de infraestructura, amplía las rutas potenciales para recopilar información.

T-Mobile informó que detectó la actividad antes de sufrir una brecha de gran escala, pero la empresa aún quedó involucrada en una campaña que requirió meses de búsqueda y una intervención física en Bellevue. La compañía fue contactada para proporcionar más información sobre el caso y, de acuerdo con el reporte, podría actualizarse la información si entrega una respuesta adicional.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín