T-Mobile、Salt Typhoonのハッカーを阻止するためネットワークケーブルを切断

T-Mobileのサイバーセキュリティチームは、中国政府と関係の深いハッキンググループ「Salt Typhoon」との攻防において、異例とも言えるシンプルな封じ込め策に踏み切ったと報じられています。 

同チームは物理的にネットワークケーブルを切断し、脅威アクターのアクセスを遮断しました。 

要点

• T-Mobileはネットワークケーブルを物理的に切断し、不審な活動が別の通信事業者に接続されたインフラに由来していることを突き止めた上で、Salt Typhoonのアクセスを遮断しました。
• Salt Typhoonのキャンペーンは、80カ国にわたる少なくとも200の組織を侵害したとされ、通信インフラが主要な標的の一つとなっていました。
• 信頼されたネットワーク関係が攻撃経路を生み出す可能性があります。脅威アクターは侵害された事業者や相互接続されたインフラを悪用し、他の環境へアクセスすることが可能です。
• 組織は封じ込め能力を検証する必要があります。ネットワークセグメンテーションの強化、サードパーティ接続の監視、ネットワーク機器のハードニング、インシデント対応計画の定期的なテストなどが求められます。

T-Mobileを狙ったSalt Typhoon攻撃の内幕 

今回の事案は、米国内外の通信・インターネットインフラを標的とした、より広範なSalt Typhoonスパイ活動キャンペーンの一環でした。 

この中国政府に関連するグループは、80カ国にわたる少なくとも200の組織を侵害したとされ、政府高官らに関連する通信データやメタデータを標的にしていたと報じられています。 

T-Mobileがこのキャンペーンとの関連で初めて公に取り沙汰されたのは2024年11月のことで、当時米国内の複数の通信事業者が同様の侵害について調査を進めていました。

当時、同社は顧客データが影響を受けた証拠は見つかっていないとしていました。 

Salt Typhoonの広範なキャンペーンに関連するとされる他の組織には、AT&T、Verizon、Lumen、Charter Communications、Windstreamなどが含まれます。

Salt Typhoonはいかに信頼されたネットワークを悪用したか 

攻撃者は通信インフラ、特に機密性の高いトラフィックや事業者間の信頼された接続へのアクセスを提供しうるルーターなどのネットワーク機器を重点的に狙っていました。 

相互接続された環境では、脅威アクターが侵害した事業者の信頼されたネットワーク関係を悪用し、他の接続されたシステムへ横展開できてしまうため、リスクが高まる可能性があります。 

これはT-Mobileの調査においても重要な要因だったとみられています。 

Bloombergの報道によると、同社のセキュリティチームは侵入者の痕跡を探すために数カ月を費やし、その末に社内システム上で異常な活動を検知しました。 

調査員たちは最終的に、不審なトラフィックの発信元が、T-Mobileのネットワークに接続された別の(名前は明らかにされていない)通信事業者のルーターであることを突き止めました。

T-MobileはいかにしてSalt Typhoonを封じ込めたか 

この発見により、T-Mobileのセキュリティチームは封じ込めに向けた明確な道筋を得ることができました。 

チームは遠隔での対処に頼るのではなく、近くのデータセンターに直接赴き、侵害された機器を外部ネットワークに接続していたケーブルを物理的に切断しました。 

この事案は、強固な社内セキュリティ対策が講じられている場合でも、信頼されたサードパーティや事業者間の接続が組織を脅威にさらしうることを浮き彫りにしています。 

同様の事案からリスクを低減するために組織ができること 

Salt Typhoonのキャンペーンは、高度で執拗な脅威から重要なネットワークインフラを守ることの重要性を浮き彫りにしています。 

組織は、強固なアクセス制御、継続的な監視、ネットワークのハードニング、効果的なインシデント対応を組み合わせた多層的なアプローチを取るべきです。 

セキュリティチームはまた、信頼されたサードパーティや相互接続された環境によってもたらされるリスクも考慮に入れる必要があります。 

• 重要インフラをセグメント化し、機密性の高いシステム、ネットワーク機器、サードパーティ環境間の通信を制限することで、横展開のリスクを低減します。
• ネットワーク機器をハードニングしパッチを適用します。ルーター、ファイアウォール、VPNアプライアンス、その他のエッジデバイスを速やかに更新するとともに、不要な管理インターフェースを制限します。
• 特権アクセスを強化します。対応している場合はフィッシング耐性のあるMFAを含む強力な認証を要求し、管理者アカウントと権限を定期的に見直します。
• ネットワーク活動と設定変更を監視します。トラフィックのベースラインを確立し、異常な接続、ルーティングの変更、不正な変更に対してアラートを発する仕組みを整えます。
• 包括的なログを維持します。ネットワーク、認証、管理に関するログを一元化し、脅威検知や調査、フォレンジック分析を支援します。
• サードパーティ接続を見直します。信頼できるパートナーやサービスプロバイダー、相互接続されたネットワークについて、不要なアクセスやセキュリティリスクがないか継続的に評価します。
• インシデント対応計画をテストします。定期的なテーブルトップ演習や攻撃シミュレーションツールの活用が有効です。

これらの対策を組み合わせることで、組織は全体的なリスクエクスポージャーを低減し、レジリエンスを高めることができます。 

結論

今回のT-Mobileの事案は、基本的なネットワーク防御の教訓というよりも、信頼されたインフラを起点とする侵入を既存の対策で封じ込められるかどうかを検証しておくことの重要性を示すものと言えます。 

Salt Typhoonの事例は、相互接続ポイントやサードパーティへの依存関係、分離能力に関する前提を、実際のインシデントに巻き込まれる前に検証しておくことの価値を示しています。 

ゼロトラストを活用することで、組織はユーザー、デバイス、アプリケーション、相互接続された環境全体にわたるアクセスを継続的に検証し、リスクを低減できます。