Nelle telecomunicazioni la sicurezza informatica è fatta di firewall, intelligenza artificiale, centri operativi che macinano miliardi di eventi al giorno. Poi arriva una storia come questa a ricordarci che, ogni tanto, l’arma decisiva sta in un cassetto: un paio di forbici. L’ha raccontata Bloomberg e l’ha ripresa oggi Mobile World Live: il protagonista è Jeff Simon, all’epoca responsabile della sicurezza di T-Mobile US e oggi Chief Information Officer dell’operatore, e l’avversario è Salt Typhoon, il gruppo di hacker legato allo Stato cinese che ha firmato la più grave campagna di spionaggio mai vista contro le reti di telecomunicazione americane.
Una caccia durata mesi
Facciamo un passo indietro, al 2024. Salt Typhoon non è un nome qualunque: secondo l’FBI il gruppo ha violato almeno 200 aziende in 80 Paesi, infilandosi nei router degli operatori per aspirare traffico di rete, tabulati telefonici e metadati delle comunicazioni. Nel mirino c’erano soprattutto le utenze di alti funzionari del governo americano, compresi i candidati alla presidenza di quell’anno. La lista delle vittime accertate comprende AT&T, Verizon, Lumen, Charter e Windstream, e le agenzie federali FBI e CISA arrivarono ad avvertire che gli intrusi puntavano perfino ai sistemi di intercettazione legale che gli operatori sono obbligati a mantenere: il posto peggiore possibile in cui trovare un ospite non invitato.
T-Mobile finì dentro la storia nel novembre 2024, quando il Wall Street Journal la inserì tra le società coinvolte nella campagna. Quello che non si sapeva, fino al racconto di questi giorni, è cosa succedeva dietro le quinte: la squadra di sicurezza dell’operatore ha passato mesi a dare la caccia agli intrusi dentro la propria rete senza riuscire a stanarli. La svolta è arrivata quando su un sistema interno è comparso un comportamento anomalo: traffico proveniente da un router che non apparteneva a T-Mobile, ma a un altro operatore — una società di rete fissa, mai nominata pubblicamente — interconnesso con la sua infrastruttura. Sugli apparati giravano comandi sospetti, di quelli tipici della fase di ricognizione di un attacco, e corrispondevano agli indicatori già associati a Salt Typhoon. Non era il classico allarme che accende sirene rosse su uno schermo: era un dettaglio piccolo, notato da chi sapeva cosa cercare dopo mesi passati a cercarlo.
Il taglio
A quel punto la procedura da manuale avrebbe previsto un’operazione di bonifica da remoto: isolare l’apparato, revocare gli accessi, ripulire. Simon e tre colleghi hanno scelto la via più corta. Sono saliti in macchina, hanno raggiunto un data center vicino al quartier generale di Bellevue, nello Stato di Washington, hanno individuato l’hardware compromesso e hanno tagliato con le forbici il cavo che lo collegava al mondo esterno. Fine della connessione, fine del problema — almeno di quello. Il cavo mozzato, racconta Bloomberg, è stato poi incorniciato ed esposto nella sede dell’azienda come un trofeo di caccia. Contattata sull’episodio, T-Mobile non ha voluto commentare.
La versione ufficiale dell’epoca, firmata proprio da Simon sul blog aziendale, era più asettica ma coerente con il racconto di oggi: tentativi di infiltrazione partiti dalla rete di un operatore wireline interconnesso, difese che hanno retto, nessun accesso a chiamate, messaggi o segreterie dei clienti, connettività verso la rete sospetta «tagliata rapidamente» — ora sappiamo quanto letteralmente — e risultati consegnati al governo, senza nemmeno la certezza assoluta che si trattasse di Salt Typhoon. T-Mobile sostiene di essere uscita dalla vicenda molto meglio dei concorrenti: da AT&T e Verizon gli intrusi sarebbero passati per mesi prima della bonifica.
Il confine di casa è il router del vicino
Al netto dell’aneddoto, il dettaglio tecnico più interessante è da dove è arrivato l’attacco: non da una falla nei sistemi di T-Mobile, ma dall’interconnessione con un’altra rete. Le reti di telecomunicazione si fidano l’una dell’altra per necessità — il roaming, l’interconnessione, il transito esistono proprio per questo — e Salt Typhoon ha trasformato quella fiducia in un’autostrada, muovendosi lateralmente da un operatore all’altro attraverso apparati condivisi. È una lezione che vale per chiunque gestisca una rete: il perimetro non è più il proprio, e la sicurezza complessiva coincide con quella del vicino peggio difeso. Puoi blindare ogni tuo router, ma se il collega dall’altra parte del punto di interscambio si è fatto bucare, l’aggressore entra in casa tua dalla porta che per contratto deve restare aperta. Non a caso l’azienda di Bellevue rivendica come vantaggio anche la semplicità della propria infrastruttura, quasi tutta mobile e con pochissima rete fissa, oltre alla scelta del 5G standalone con autenticazione e cifratura più moderne.
È lo stesso ordine di ragionamenti — fiducia, fornitori, geopolitica — che in Europa ha portato al dibattito sui 40 miliardi necessari per rimuovere Huawei e ZTE dalle reti, e che negli Stati Uniti si è già tradotto in blackout molto concreti: ad agosto il crollo della rete voce di Verizon ha ricordato quanto queste infrastrutture siano fragili anche senza nessun aggressore di mezzo.
Il commento della redazione
Il cavo in cornice è un’immagine irresistibile, e non ci stupisce che T-Mobile — che pure attraversa un momento di tagli pesanti al personale — se la goda: è la miglior pubblicità possibile per una squadra di sicurezza. Ma la parte che ci resta addosso è un’altra. Primo: la soluzione definitiva è stata fisica perché di un apparato compromesso non ci si può più fidare, nemmeno per spegnerlo da remoto; è un principio che i manuali predicano da decenni e che qui è stato applicato alla lettera. Secondo: questa storia emerge dalla stampa quasi due anni dopo i fatti, segno di quanto il settore fatichi ancora a raccontare gli incidenti mentre accadono. E terzo, il meno rassicurante: l’FBI descrive Salt Typhoon come una minaccia tuttora attiva, con accessi persistenti in giro per le infrastrutture mondiali. Le forbici di Bellevue hanno chiuso una porta. Le altre, nessuno sa esattamente quante siano.
