Repéré tôt en 2024, l’intrus lié à Pékin n’a pas eu le temps d’ouvrir grand la porte chez T-Mobile. La riposte, elle, a été très physique.
En bref
- T-Mobile a stoppé une intrusion en 2024
- Salt Typhoon visait données clients et relevés téléphoniques
- La coupure physique a isolé le système compromis
Quand tout un secteur se fait secouer, voir un opérateur sortir des ciseaux a quelque chose de brutal, presque old school. Et pourtant, c’est bien comme ça que T-Mobile a fini par isoler un système compromis pendant la vague d’attaques de 2024 liée à Salt Typhoon.
Une campagne tentaculaire qui a touché tout l’écosystème
D’après Bloomberg, le groupe Salt Typhoon, soutenu par l’État chinois, a mené une série d’intrusions contre des centaines d’acteurs, des opérateurs télécoms aux géants d’internet, en passant par les fournisseurs de datacenters. L’objectif allait bien au-delà du simple sabotage. Il s’agissait de récupérer des données clients, des relevés téléphoniques et des informations sur de hauts responsables américains, y compris des candidats à la présidentielle de l’époque.
Dans la liste des entreprises compromises, on retrouve Verizon, AT&T, Viasat, mais aussi Charter et Windstream. Pour l’écosystème mobile, ce n’est pas un incident isolé. C’est une démonstration très nette de la valeur stratégique des métadonnées télécoms.
Pourquoi T-Mobile a limité la casse
Le point important, quand même, c’est que T-Mobile aurait échappé à une brèche massive. Pas parce que l’attaque était anodine, mais parce que l’activité a été détectée assez tôt pour éviter une compromission à grande échelle du réseau.
Pour un opérateur, cette nuance change tout. Une présence contenue sur un système n’a pas le même impact qu’un mouvement latéral réussi sur l’ensemble de l’infrastructure.
Des mois de chasse, puis un routeur qui trahit l’intrusion
La traque n’a pas été rapide. Les équipes cyber de T-Mobile ont passé des mois à chercher les intrus sans parvenir à les localiser précisément.
Le déclic est venu d’un comportement inhabituel observé sur l’un des systèmes. Ce trafic anormal provenait d’un autre routeur appartenant à une autre société télécom, dont le nom n’a pas été rendu public. Résultat ? Un point d’entrée enfin visible, et une décision immédiate.
La scène qui résume tout, couper le câble
Après identification de la brèche, le responsable cybersécurité de T-Mobile, Jeff Simon, s’est rendu avec trois autres personnes dans un datacenter voisin à Bellevue, dans l’État de Washington. Sur place, ils ont trouvé le système compromis et coupé le câble qui reliait la machine au monde extérieur.
C’est presque une image de film, mais elle dit quelque chose d’utile pour les décideurs réseau. Dans une crise, la réponse la plus efficace n’est pas toujours la plus élégante. Parfois, la bonne option, c’est simplement d’isoler vite, très vite.
