2024年底，一伙后来被微软命名为「盐台风」（Salt Typhoon）的黑客组织，做成了电信行业几十年来最恐怖的一件事：不是打瘫网络，而是静悄悄地钻进了美国至少八家主流运营商的核心网，并且摸到了合法监听系统——那个连运营商内部员工都碰不到的禁区。政客的通话元数据被拖走，美国政府自己的监听手段被迫临时更换。这起事件不是DDoS那种「热闹的攻击」，而是一场教科书级的APT渗透，它把电信核心网运维最不愿面对的问题摆上了台面：我们守护的这张网，攻击面到底有多大？本文以CISA、NSA、FBI联合公告与FCC后续监管动作为主轴，复盘盐台风的时间线、入侵路径、根因与行业整改，并给出国内运维视角的六条硬建议。
盐台风事件最早的公开报道出现在2024年10月，《华尔街日报》率先披露多家美国电信公司遭到与中方关联的黑客组织长期渗透。随后几个月，事件像洋葱一样被层层剥开：受影响的运营商从最初点名的两三家，扩大到至少八家，公开名字包括AT&T、Verizon、T-Mobile、Lumen、Consolidated Communications、Windstream、MetroNet等；入侵深度从办公网一路深入到支撑核心网运维的网元管理面，最终触及依法监听基础设施（美国法律框架下即CALEA体系要求运营商部署的拦截交付系统）。
微软威胁情报团队给该组织起名Salt Typhoon，安全社区还追踪过GhostEmperor、FamousSparrow、Earth Estries等多个别名——多个厂商独立追踪多年，说明这不是一支新队伍，而是一支长期活跃、擅长隐匿的老手。中国政府方面则一贯否认相关指控。
与常见勒索攻击最大的不同是：网络没有瘫痪，用户毫无感知。没有大面积断网、没有账单异常、没有客服话务洪峰。攻击者的目标不是钱，而是「驻留」和「情报」。对运维团队来说，这恰恰是最阴险的对手模型——你的KPI里没有任何一条指标能提前暴露它。
2024年12月3日，CISA、NSA、FBI联合发布编号AA24-338A的公告《Enhanced Visibility and Hardening Guidance for Communications Infrastructure》，第一次以官方文件形式确认了事件的严重性，并给出了面向电信基础设施运营者的加固清单。这份文件是本文解读的主轴之一。
timeline
title 盐台风事件关键节点
2024年10月 : 华尔街日报等媒体首次曝光多家运营商失陷
2024年12月 : 受影响名单扩至八家以上 : CISA FBI NSA发布联合加固公告AA24-338A : 白宫官员通报数十名政治人物数据被窃
2025年1月 : FCC启动新规制定 : 多家运营商宣布完成清除
2025年3月 : FCC表决通过年度网络安全认证要求
2025年下半年 : 多家媒体报道攻击活动向更多国家与行业蔓延
把媒体报道与美国官方披露拼在一起，还原出的入侵链条大致是这样的：
flowchart TD
A["边界设备漏洞与弱认证"] --> B["入侵运营商边缘网元"]
B --> C["在内网建立立足点"]
C --> D["横向移动至网元管理面"]
D --> E["渗透合法监听系统"]
E --> F["窃取通话元数据与部分内容"]
F --> G["长期潜伏并持续外带数据"]
值得注意的是「迟到」这个细节。事后多方信息显示，攻击者在部分网络中的驻留时间以月甚至年计。也就是说，当2024年10月媒体曝光时，很多运营商的应急响应其实早已滞后——发现管道不是靠运营商自己的SOC，而是靠政府通报和友商互查。对日均告警数以万计的NOC来说，这暴露的正是APT检测能力的真空：你的告警平台会为一次闪断吵翻天，却对一次持续半年的异常登录无动于衷。
主要受影响运营商及公开回应（据媒体公开报道整理）
| 运营商 | 公开情况 | 要点 |
|---|---|---|
| Verizon | 确认失陷 | 配合政府调查，称已处置 |
| AT&T | 确认失陷 | 称少数商务与政府客户数据被窃取 |
| T-Mobile | 确认尝试入侵 | 称检测及时，数天内将攻击者逐出 |
| Lumen | 确认失陷 | 涉及部分内部系统 |
| Consolidated Communications | 确认失陷 | 受影响范围有限 |
| Windstream | 确认失陷 | 配合调查与加固 |
| MetroNet | 确认失陷 | 光纤ISP，规模较小 |
表中信息来自《华尔街日报》、NBC新闻等媒体报道及各公司公开声明，各家的确切影响范围并未全部公开，读者应以官方通报为准。
很多人第一反应是「美国运营商安全做得差」。但把CISA公告和后续披露摊开看，会发现失守路径几乎是国内运营商环境的「镜像」，每一条都眼熟。
第一，边界网元成了突破口。 盐台风大量利用了运营商互联网出口和互联边界上那批「最容易忘」的设备：路由器、防火墙、VPN网关、管理代理。这些设备常年打不上补丁——因为它们在承载业务，割接窗口难申请，升级风险高，于是「下个季度再说」一拖就是一年。对攻击者来说，一个公开可查的CVE加一个没有MFA的管理接口，就是最省力的门票。
第二，管理面与业务面没有真正隔离。 CISA公告点名的问题清单，在任何一个运营商网络里做现场核查都能对上大半：Telnet/HTTP/HTTP明文管理协议仍在网内使用、SNMP还在跑v1/v2、网元管理流量与业务流量同路、远程访问只有单因子口令。核心网内部的「可信区」假设——进了内网就安全——在攻击者拿到第一个立足点之后，等于主动给对方开了绿灯。
第三，合法监听系统是整个网络里最薄弱的高价值资产。 这是最值得国内同行细品的一条。按3GPP的LI架构（TS 33.127等规范），监听系统由触发、媒介、交付三个环节组成，通过X1/X2/X3等接口把拦截相关信息和通信内容交付给执法监测设施。它在物理和逻辑上都是一个「影子网络」：直接产权威数据、连接外部执法出口，却又常常游离在运营商日常变更管理、补丁管理之外——版本老旧、账号长期不动、访问控制依赖几台堡垒机。标准允许多种实现，具体行为以各厂家官方文档为准，但共性问题是相似的：这个系统平时没人敢动，出了事没人愿意负责，攻击者最爱。盐台风把手伸进这个系统，等于直接获得了「合法」的数据出口，绕开了所有面向公众侧的防护。
第四，检测体系针对故障而非入侵。 运营商的监控体系是为「断」而建的：告警、KPI、投诉。没有人盯着「配置被谁改了」「这台网元为什么在凌晨三点往外发流量」「这个账号为什么从没见过的IP登录」。CISA开出的第一剂药方就是「Enhanced Visibility」——可见性优先于加固，先能看见，再谈防住。
2024年12月，白宫负责网络事务的副国家安全顾问Anne Neuberger在媒体通报中给出官方口径：攻击者窃取的主要是通话元数据——主被叫号码、通话时间、时长、基站定位等，涉及数十名美国政府高级官员和政治人物；对其中一小部分目标，攻击者还获取了实际通信内容（音频与短信）。
这个「元数据为主、少量内容」的组合，在情报价值上一点也不打折。元数据拼出来的社交关系图、活动规律、位置轨迹，足以支撑精准的情报作业。更狼狈的是被曝光的第三重影响：由于监听系统本身被渗透，美国政府不得不更换自己部分调查手段，部分依法监听行动被迫中止或转移。攻击者等于把「执法基础设施」变成了情报资产——这是这起事件区别于普通数据泄露的本质。
对运营商的商业影响同样实在：国会听证、参议员质询、品牌信任受损，随后FCC把安全合规从「自律」变成「持证义务」。T-Mobile之所以在舆论上全身而退，靠的正是「检测及时、数天驱逐」的叙事——同一件事，响应速度成了公关资产与负债的分水岭。
事件处置分两条线：技术线与监管线。
技术线的核心是那份AA24-338A联合公告。抛开官方措辞，它给出的清单非常「运维」，每一条都可以直接改写成核查项：
监管线的动作更快。2025年1月，FCC启动新规制定程序；同年3月，FCC表决通过，要求电信运营商每年依据CALEA第105条向FCC提交网络安全风险管理认证，证明自己建立了并执行了书化的安全风险管理计划。这在监管思路上是个转折：过去FCC管的是覆盖、互联、911可用性，如今把「网络安全成熟度」变成了准入门户口的年度义务。到2026年回看，这一步把美国电信业的安全建设从「预算争夺战」变成了「合规硬约束」——效果如何尚待验证，但方向值得各国监管参考。
2025年，多家媒体报道盐台风关联活动没有收手，而是向更多国家的电信、政府乃至其他关键基础设施蔓延，部分机构被曝驻留时间超过一年。这些后续披露细节各异、部分未经官方证实，但行业共识是清晰的：针对电信运营商的国家级渗透，已经是常态化的背景辐射。核心网运维不能把它当成「美国的事」。
结合这次复盘，给国内同行六条可以直接落地的建议：
一句话总结：盐台风没有击穿任何一台网元的「可用性」，它击穿的是我们整个运维体系的假设——内网可信、变更可控、监听系统无关紧要。这三个假设在2024年10月之后，都该扔掉了。
回顾这起事件，最值得记住的不是八家运营商的名字，而是一个结构性事实：电信网络的价值密度决定了它永远是国家级攻击者的首选目标，而核心网运维最大的敌人不是「断」，是「被潜伏」。网络断了，用户三分钟内就会告诉你；被潜伏了，你可能十八个月后才知道。2025年FCC把安全认证变成年度义务，CISA把「可见性」写进标题——监管和官方文件已经替运维说出了那句一直没人肯认账的话：安全不是合规附录，它就是核心网的一部分。下一次别人问你「核心网最怕什么故障」，答案或许应该是：最怕那种你看不见的。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。