A T-Mobile guarda como troféu, em seu centro de cyber defesa nos Estados Unidos, um segmento de cabo de rede crimpado a seu conector RJ45, cortado em novembro de 2024 durante bloqueio de uma tentativa de invasão atribuída ao grupo Salt Typhoon, apoiado pelo governo chinês. A operação se estendeu por meses e envolveu a busca por dispositivos camuflados em data centers nos Estados Unidos, conforme revelou Jeff Simon, diretor de informações da empresa, em entrevista à Bloomberg News. O incidente ocorreu em meio a uma campanha mais ampla de espionagem cibernética que afetou a AT&T, a Verizon e outras sete operadoras de telecomunicações dos EUA, com invasores tendo acessado dados telefônicos de milhões de americanos, incluindo os de Donald Trump, Kamala Harris e JD Vance, segundo a reportagem.
Segundo Simon, os times de segurança passaram meses analisando dados internos à procura de vestígios dos atacantes. As investigações contaram com informações repassadas por órgãos do governo e por outras operadoras. A empresa havia reforçado sua segurança após um incidente no ano anterior e, inicialmente, não encontrou atividades anômalas. O primeiro sinal de atividade incomum foi detectado em um roteador num data center na Califórnia: o equipamento trocava dados com outro sistema da T-Mobile, mas, quando um funcionário foi inspecioná-lo, constatou que ele estava fisicamente desligado. Diante da suspeita, Simon determinou que o roteador fosse removido e levado de carro até a matriz da T-Mobile, em Bellevue, no estado de Washington, a centenas de quilômetros de distância.
Dispositivo camuflado e corte do cabo
No dia seguinte, a equipe percebeu que a atividade suspeita não poderia ter origem no roteador desativado e rastreou a comunicação até um roteador de outra operadora de telecomunicações em Chicago, cuja identidade não foi revelada. A equipe descobriu que o tráfego suspeito, na verdade, partia de um roteador de outra operadora em Chicago, que estava disfarçado para se passar pelo equipamento da Califórnia. Esse disfarce permitiu que o dispositivo se conectasse a um servidor da T-Mobile localizado em Bellevue.
Ao identificar o dispositivo comprometido, Simon e três colegas se dirigiram ao data center em Bellevue, onde um membro da equipe utilizou uma tesoura para cortar fisicamente o cabo de rede, interrompendo a comunicação. Simon descreveu o cabo cortado como um “pequeno troféu”. Em seguida, a T-Mobile colocou o equipamento em uma rede segregada e examinou seus dados, mas os invasores já tinham abandonado o acesso. Segundo Simon, os atacantes conseguiram alcançar alguns equipamentos de borda da rede, mas não penetraram nos sistemas centrais nem tiveram acesso a informações de assinantes. O governo chinês negou envolvimento no ataque. A T-Mobile informou na época que seus sistemas detectaram e interromperam a tentativa de invasão antes que os hackers obtivessem dados de clientes.
