2024年10月，一个代号“盐台风”（Salt Typhoon）的黑客组织被曝长期潜伏在美国多家主流电信运营商网络内部，并摸进了依据《通信协助执法法》（CALEA）建设的合法监听平台——执法机关的窃听工单、海量用户的通话元数据、甚至少量短信正文，都暴露在攻击者眼前。这是谁干的、怎么进来的、为什么监听平台会成为“皇冠明珠”、两年过去行业交出了怎样的整改答卷？本文以维基百科 Salt Typhoon 词条（en.wikipedia.org/wiki/Salt_Typhoon）汇总的时间线为主轴，结合 CISA/FBI 联合声明与 FCC 规则文件等公开口径，从核心网运维老兵的视角做一次完整拆解。
先把时间线捋清楚。2024年10月初，《华尔街日报》率先报道 AT&T、Verizon、T-Mobile 正在排查一起针对其内部系统的网络入侵，代号来自微软的威胁情报命名——"Salt Typhoon"。随后几周，事态像滚雪球一样扩大：Lumen、Frontier、Windstream、Metronet 等运营商相继被点名，据华尔街日报等媒体统计，受到影响的美国电信运营商至少有九家。安全厂商对该组织的追踪要早得多——微软、卡巴斯基、ESET、趋势科技分别以 GhostEmperor、FamousSparrow、Earth Estries 等名字记录了它多年的活动轨迹，外界普遍评估其为国家级团伙，中国政府则予以否认。
真正让华盛顿炸锅的是2024年12月中旬：白宫副国家安全顾问安妮·纽伯格（Anne Neuberger）在媒体吹风会上确认，攻击者访问了运营商用于执行法院授权监听的系统，并窃取了大量美国用户的通话元数据。用一位美国议员的原话说，这是“美国电信史上最严重的入侵事件”。
| 时间 | 事件进展 |
|---|---|
| 2021年起 | 微软等厂商持续追踪该团伙（当时以 GhostEmperor 等代号），目标集中于电信与政府资产 |
| 2024年10月初 | 《华尔街日报》曝光 AT&T、Verizon、T-Mobile 等遭入侵，"Salt Typhoon"代号进入公众视野 |
| 2024年10-11月 | 受影响运营商扩大至至少九家，白宫介入协调排查 |
| 2024年12月 | 白宫吹风会确认监听系统被访问；CISA/FBI/NSA 联合澳、加、新机构发声明，罕见呼吁部署端到端加密 |
| 2025年1月 | FCC 启动通信网络安全规则制定程序；据美国财政部公告，制裁与该行动关联的中国公司及个人 |
| 2025年 | 据微软及多家媒体通报，相关团伙的活动面外溢至加拿大电信商、美国国民警卫队网络及亚洲酒店业 |
从曝光时点回推，攻击者在部分运营商网内的潜伏时长据评估长达数月至两年。对干过核心网维护的人来说，这四个字意味着什么，不需要我多说——它意味着攻击者看完了你两个预算周期的割接计划、摸清了你全部的网管通道，而你对此一无所知。
综合微软、CISA 及各家媒体的公开复盘，盐台风的打法没有炫技，反而处处透着“老练的朴素”：不打 0day 闪电战，打的是“边界设备的漏洞+弱口令+凭据复用”这套组合拳，进了门再慢慢横向爬权力阶梯。
flowchart TD
A["盐台风攻击链全貌"] -->|"阶段一·进入"| B["边界资产侦察"]
B --> C["VPN网关与路由器漏洞"]
B --> D["弱口令与泄露凭据"]
C --> E["拿到管理面立足点"]
D --> E
E -->|"阶段二·横移"| F["窃取域控凭据"]
F --> G["拿下虚拟化管理平台"]
G --> H["控制运维跳板"]
H --> I["摸到合法监听平台"]
I -->|"阶段三·取数"| J["批量导出通话元数据"]
I --> K["翻阅法院授权监听工单"]
J --> L["数据静默回传"]
K --> L
L --> M["潜伏数月至两年才被发现"]
三个细节值得同行咀嚼：
第一，突破口几乎全在管理面，不在业务面。 攻击者盯的是 VPN 网关、路由器管理口、堡垒机这一类“操作网络的网络”，而不是承载用户流量的转发面。这类资产的特点是：版本老旧、补丁窗口漫长、为了运维方便往往背着公网可达的远程通道。18年里我见过的每一次严重事件，第一块多米诺骨牌几乎都倒在这里。
第二，横向移动走的是“管理元中枢”。 据公开披露，攻击者拿到域凭据后，优先拿下的不是某个业务主机，而是虚拟化管理平台这类能一键控制成百上千台虚机的枢纽。拿下了它，等于拿到了整朵“电信云”的钥匙——这正是近几年历次重大入侵的共同剧本。
第三，动作极轻。 元数据是分批慢慢拖的，监听工单是像正常查询一样“翻看”的，日志里留下的痕迹混在运维人员的日常操作中。这提醒我们：靠“流量突增告警”抓这类对手是不现实的，能抓住它的是行为基线——一个平时只在工作日查单的账号，凌晨三点连续拉取批量记录，这才该触发告警。
这一节是全文的核心，也是这个案例对全球电信同行的真正杀伤力所在。
1994年，美国通过《通信协助执法法》（CALEA），要求电信运营商在网络中预留并维护执法机关依法监听的技术能力。此后近三十年，每一家美国运营商都在网内运行着自己的合法监听（Lawful Intercept，LI）平台：一端对接网元和计费/信令数据，另一端按照标准交付接口把被监听目标的通信内容与元数据交付给执法机构。
从攻击者视角看，这是一件完美的武器：它天然汇集了全网的通信数据，它有标准化的查询接口，它的访问在组织上属于“少数人知道、更少数人审计”的暗室。 纽伯格在吹风会上承认，攻击者不仅翻看了通话记录，还查看了哪些目标正被美国执法机关监听——这直接导致在华盛顿地区针对特定外国情报目标的监听行动暴露，美方不得不紧急调整多条情报线。
用运维的话翻译一下：运营商把自己的“最高权限后台”连在了一个曾经被打穿的网络上，而它的操作日志没有被足够严格地盯着。更讽刺的是，这个后门是法律亲手装的——CALEA 立法的初衷是执法便利，三十年后，它成了国家级攻击者的导航入口。2013年斯诺登事件已经演示过一次“监听能力被滥用”的剧本，只不过那次是内部人，这次是网外的对手，两次踩的是同一颗雷。
这也是为什么2024年12月那份联合声明如此不同寻常：CISA、FBI、NSA 会同澳大利亚、加拿大、新西兰的对口机构，公开“强烈建议”公众使用端到端加密通信。要知道，FBI 过去多年一直在推动“执法豁免后门”的立法。盐台风用一个季度，完成了隐私倡导者二十年没做到的论证——你为合法用途修建的每一扇后门，都会被别人找到并使用。
官方始终没有公布精确的条数，只承认规模“非常大”。综合吹风会口径与媒体复盘，泄露内容大致可以分成五级：
| 数据类型 | 内容 | 泄露情况 |
|---|---|---|
| 通话元数据（CDR） | 主被叫号码、时间、时长、位置区信息 | 大规模被窃，覆盖大量美国用户 |
| 用户身份关联 | 部分号码对应的用户姓名等 | 部分被窃 |
| 短信正文 | 特定目标用户的短信内容 | 少量、定向被窃 |
| 通话语音 | 实时窃听内容与录音 | 据官方通报，未发现大规模窃取 |
| 监听工单 | 法院授权的监听申请与目标清单 | 被翻阅，导致美方监听行动暴露 |
影响评估要分三层看。对个人用户：元数据泄露不等于通话内容泄露，但号码关系图谱、活动规律、位置轨迹足以支撑精准的情报作业与社工攻击，特朗普竞选团队人员的电话号码出现在被访问记录中，据多家美媒报道，这成为事件的导火索之一。对美国政府：真正的损失在情报层面——自己的监听清单被对手浏览，等于谍战片里“电台频率被敌人掌握”。对行业：九家运营商的整改成本、诉讼风险、监管压力叠加，这个案例此后写进了全球每一份电信安全培训教材。
两年下来，这场事件的处置链条值得完整复盘一遍，因为它就是一份“国家级电信安全事件响应”的参考模板。
应急层面，2024年11月起白宫牵头组织各运营商排查，年底多家运营商（包括 AT&T、Verizon）陆续对外表示已将攻击者清除出网。CISA 网络安全审查委员会据报也启动了对事件的专项审查，五眼联盟多机构联合发布了针对电信行业的防御指引。
监管层面，FCC 于2025年1月启动规则制定程序，核心思路是把“网络安全”从运营商的自愿动作变成可问责的法定义务：要求运营商建立并持续维护网络安全风险管理计划，每年向 FCC 提交认证，谎报或履职不力将面临处罚——沿用的正是当年监管 E911 可靠性的老套路。对经历过多轮 E911 合规审计的同行来说，这个味道很熟悉：安全从此有了账单编号。
反制层面，据美国财政部2025年1月公告，与盐台风行动关联的中国实体（涉川企业）与个人被列入制裁清单。中方否认相关指控，事件再次成为外交摩擦点。
架构层面，各运营商的整改动作大同小异，基本围绕联合声明给出的方向：压缩监听平台的访问面、特权账号全面审计、推动端到端加密、缩短边界设备补丁周期。标准允许多种实现，具体做法以各运营商与监管文件为准，但方向一致——把“暗室”改造成“灯房”。
案例讲完了，说点能带回去用的。以下七条，按优先级排序：
1. 边界设备的补丁优先级，重新排一遍。 VPN 网关、路由器管理面、防火墙管理口，这三个东西的补丁等级应该高于所有业务网元。问自己一个问题：这几个资产的版本，比隔壁核心网元老多少？
2. 管理面公网可达性清零。 盐台风进门的每一扇窗，都是“为了方便远程运维”开的。堡垒机之外不该存在任何第二条管理通道，VPN 通道该收敛的收敛。
3. 监听/网管类高权平台必须“成岛”。 无论具体名称叫什么，合法监听平台、网元级网管、计费详单库这类数据汇聚点，都应该做到网络位置独立、访问白名单、双向证书认证、无直连互联网路径。岛与大陆之间只留两座桥：受控的跳板和只出不进的日志流。
4. 日志必须出岛，异常要按“行为”而不是“阈值”定义。 高权平台自身的操作日志送到独立审计系统，对“翻单频率”“导出量”“非常规时段查询”建立基线。这次事件里攻击者潜伏数月才被发现，差的不是日志，是对日志的理解。
5. 虚拟化管理平台按域控同级别防护。 它是现代电信云里事实上的最高权限节点，别再把它当普通网元对待。
6. 数据最小化留存。 元数据留得越久、聚得越全，一旦被拖损失越大。留存策略值得每两年重新论证一次——不留的数据不会泄。
7. 演练场景升级为“假设他已在网内三个月”。 红蓝对抗的目标不再是“能不能挡住进门”，而是“能不能在一周内发现他已经在客厅”。检测与响应能力，比边界防御的后半程重要得多。
再给一张参考防护架构，尺寸不大，但每条线都是上面某条血的教训：
flowchart TD
A["合法监听平台 LI岛"] -->|"仅出站审计日志"| B["独立SIEM审计岛"]
C["运维跳板机"] -->|"白名单加双向证书"| A
E["互联网边界"] -->|"零直连"| A
B -->|"异常查询实时告警"| D["安全值班与处置"]
盐台风事件最值得写进行业史的一句话，不是“九家运营商沦陷”，而是 FBI 自己在联合声明里敦促公众使用端到端加密的那个瞬间。监听能力与安全边界之间的矛盾，从 CALEA 立法那天起就埋下了，三十年后以最惨烈的方式兑现。这个结论对任何国家的运营商都成立：凡是被法律或便利要求保留的特殊通道，都是全网攻击面上最贵的一块。
对我们一线工程师，答案朴素得多——高权平台成岛、日志出岛、边界收缩、数据最小化。安全没有银弹，但有账单：现在付的是小钱，出了事付的是 FCC 式的罚单和议员的听证会。盐台风用两年潜伏证明的另一个事实同样重要：国家级对手不比拼的是谁更炫技，而是谁更有耐心。你的网络里，此刻是否也有一个安静的会话，已经挂了三个月？
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。