概述：2024年10月，一场代号「盐台风」（Salt Typhoon，微软命名；美国网络安全公司Recorded Future称其为RedMike）的网络渗透行动被曝光：至少8家美国电信运营商的内部网络被长期潜伏，执法监听系统与话单元数据遭窃，波及大量政治人物。随后日本NTT Docomo等8家通信企业相继沦陷，美国FCC立案调查。本文回答三个问题：攻击者是如何摸进电信运营商最核心的监听系统的？这场持续两年的风暴暴露了电信网哪些结构性软肋？一线网络工程师能从中带走什么？

目录

• 一、风暴起点：窃听专线被撬开
• 二、时间线与战果清单
• 三、攻击链拆解：边界设备是第一嫌疑犯
• 四、为什么监听系统成了最软的柿子
• 五、各家中招清单与损失评估
• 六、官方应对：从七国联合指南到FCC立案
• 七、给通信工程师的七面镜子
• 八、结语：间谍要知情权，勒索要可用性

一、风暴起点：窃听专线被撬开

2024年10月6日，《华尔街日报》率先报道：多家美国互联网与电信服务提供商遭中国政府支持黑客渗透。微软随后将这一威胁组织命名为Salt Typhoon，媒体将其意译为「盐台风」。中国驻美使馆则公开否认相关指控，称其为「虚假信息」——归属问题各方各执一词，但入侵本身的存在，随后被美国官方逐一证实。

这起事件最令人不安的地方，不在于「进了网」，而在于「进了哪张网」。据多位美国议员和媒体后续披露，攻击者在部分运营商内部抵达了执法监听系统——也就是依据《通信协助执法法》（CALEA）必须预留的合法监听平台，以及承载通话记录的话单系统。换句话说，攻击者站上了运营商的「上帝视角」：任何一个目标号码入网，其全部通话元数据都可以被批量拉走。

对做了十几年核心网运维的人来说，这个位置意味着什么再清楚不过：它不是外网侧的边缘PoP，不是计费网关，而是全网权限等级最高的平台之一。间谍组织花大力气也要摸到那里，恰恰说明电信网真正的「王冠」不在空口速率，而在这些二十年如一日沉默运行的支撑系统里。

二、时间线与战果清单

先把两年来公开可查的事件脉络铺开，信源口径我逐条标注——哪些是官方证实、哪些是媒体报道，工程师读安全事件必须先分清这两层。

这张表里有一个容易被忽略的细节：2025年1月官方宣布「清除完成」，但7月日本NTT事件又出现了手法高度相似的渗透。这不是同一场火灾的余烬，而是同一支纵火队伍换了栋楼。这也是APT类事件的典型节奏——驱逐、回渗、再驱逐，没有「结案」这个概念。

三、攻击链拆解：边界设备是第一嫌疑犯

综合CISA指南与多家安全厂商的分析报告，Salt Typhoon的攻击链可以被还原成下面这条路径：

flowchart TD
    A["盐台风初始突破"] --> B["边界设备漏洞与弱口令"]
    B --> C["拿到VPN防火墙管理权"]
    C --> D["劫持运维通道与账号"]
    D --> E["内网横向移动"]
    E --> F["抵达话单与监听平台"]
    F --> G["批量拉取通话元数据"]
    G --> H["安装常驻后门"]
    H --> I["长期潜伏分批回传"]

逐段说重点。

初始突破几乎全在边界设备上。 运营商网络里那排谁都不会多看一眼的VPN网关、企业级防火墙、远程接入设备，正是这场风暴的风眼。这些设备的共同特征是：直接暴露在公网、固件版本老旧、管理口令复杂度参差不齐、厂商漏洞公告永远比补丁窗口跑得快。多家安全厂商的分析指出，攻击者大量利用了边界设备的已知漏洞与默认/弱口令，并采取「就地取材」（living off the land）策略——用设备自带的管理功能和合法运维工具作案，让告警看起来像一次普通的割接。

横向移动走的是运维通道。 拿下边界设备后，攻击者不需要什么惊天动地的0day：运营商内网里，网管VLAN、带外管理网、跳板机之间的信任关系往往是「以拓扑代安全」。拿到一台边界设备的管理权，常常等于拿到一张内网观光票。

目标是元数据，不是内容。 据公开报道，这轮渗透以通话记录、通话时长、主被叫关系等元数据为主，针对性拉取特定人物的数据，包括据《华盛顿邮报》等报道的特朗普、万斯在内的约50名政治人物的通话元数据。只拿元数据不动内容，意味着数据量小、难以触发DLP类告警、事后追溯困难——这是教科书级的间谍作业。

四、为什么监听系统成了最软的柿子

这是整个事件里最值得通信从业者深思的一节。

CALEA要求运营商为执法预留合法监听能力：呼叫发生时，侦控接入功能把目标话务复制一份，交由监听中介设备整理后递送执法机构。3GPP体系里对应的是TS 33.106等一整套合法监听规范。这套机制的设计初衷是「只在需要时、只对指定目标」开放，但工程实现上，它天然形成一个高价值汇聚点：

• 权限汇聚：监听平台能看到全网任意目标的话单与话音副本，一台设备的失守等于全网失守；
• 网龄偏老：监听平台多由专业厂商独立交付，采购周期长、版本迭代慢，不少平台长期「稳定运行就不动它」；
• 知道的人少，审计更少：能接触监听平台的账号屈指可数，反而意味着针对这些账号的异常行为缺乏足够的交叉审计；
• 信任链复杂：执法接口、运营商侧、中介设备三方互联，任何一方账号体系被渗透都会污染整条链路。

怀登参议员在2024年11月的公开信里把这一点挑明：监听系统的这种中心化架构本身就是风险。需要说明的是，标准允许多种实现，各运营商与厂家的具体安全设计以其官方文档为准；但架构层面「监听平台是全网最高价值单点」这个判断，在这次事件后基本成为行业共识。

还有一个更冷峻的推论：间谍组织为什么要盯监听系统？因为绕过它太麻烦。与其逐个运营商挖用户数据，不如直接坐在监听平台上等数据流过。你的合规系统，成了攻击者的免费情报管道。

五、各家中招清单与损失评估

几点解读。第一，各家损失差异极大，T-Mobile的「数天清除」与别家的长期驻留形成鲜明对比——区别不在攻击者，而在各家的检测能力：有集中日志和专职狩猎团队的，入侵像消防演习；没有的，入侵像空气。第二，日本NTT事件说明这套打法具备完整的可复制性：据NTT公告与媒体报道，攻击从集团内网一处接入点进入后横向扩散，波及集团内外8家通信企业。第三，AT&T、Verizon等从未公布被窃数据的完整清单，「少量」这个措辞是美国参议院情报委员会听证后媒体转述的口径，实际规模未经官方证实。

六、官方应对：从七国联合指南到FCC立案

2024年12月18日，CISA、NSA、FBI与澳大利亚、加拿大、新西兰、英国四国网络安全机构联合发布安全公告AA24-338A《增强通信基础设施的可视性与加固指南》。这是「盐台风」事件最权威的官方文档，核心要求可以压成一张表：

在此之前的12月4日白宫简报会上，CISA高管Jeff Greene那句被广泛引用的话值得原样记下：据美国媒体报道，他说「加密是你的朋友，我们的建议就是去用它」。一个国家级网络防御机构的官员公开建议民众改用端到端加密通信——这等于官方承认：管道侧的防御再强，也无法保证端到端管道上的每一个环节都不失守。

监管层面，FCC在2025年3月对四家运营商的数据保护措施立案调查，并启动了把监听系统安全纳入运营商合规义务的规则修订程序（据FCC公告与媒体报道）。这是本事件最具长期影响的动作：过去CALEA只管「你必须能监听」，今后可能同时管「你的监听系统必须防得住」。

flowchart TD
    A["发现入侵痕迹"] --> B["隔离受控边界设备"]
    B --> C["全网轮换口令与证书"]
    C --> D["重装或替换EOL设备"]
    D --> E["重建集中日志基线"]
    E --> F["持续狩猎验证清零"]
    F --> G["复盘更新加固基线"]

上面这张图是美国主要运营商2025年1月完成「驱逐」的抽象流程。注意第三步：口令、证书、会话令牌全量轮换。APT驱逐不是把坏进程杀掉就完事，攻击者只要还握着一张有效凭证，随时会再进来。

七、给通信工程师的七面镜子

盐台风的打法没有任何一步超出「网络工程师的日常技能树」，这正是它可怕的地方。对照国内网络运维实践，我认为至少有七面镜子：

1. 边界设备是第一嫌疑犯。做故障排查时习惯性信任防火墙、VPN网关的日志？盐台风告诉我们，这些设备本身就该被怀疑。边界设备的管理权要按核心网网元等级管控。
2. 监听与支撑平台按最高密级管理。合法监听、信令采集、DPI这类「上帝视角」平台，账号、审计、网络分区都要对齐最高标准，任何一个人能登录的口子都是一个潜在的未来头条。
3. 没有集中日志等于没有日志。设备本地日志在入侵者拿到管理权的那一刻就不可信了。北向集中、异地留存、基线告警，是AA24-338A最核心的一条，也是国内很多网络尚未补齐的一条。
4. EOL设备台账不是文档，是排雷图。每一台停止维护的边界设备，都是一个已知的、有编号的、可被检索的漏洞。
5. 管理协议清零行动。Telnet、SNMPv2、HTTP管理面、默认社区字串——这类「祖传配置」在割接密集期最容易漏改，值得发起一次全网专项。
6. 供应链与运维商账号。NTT事件的切入点在集团内网的接入环节；代维、集成商、厂商远程支持账号的权限边界与行为审计，是事件复盘里最常被追问的一环。
7. 驱逐演练要常态化。很多网络有应急预案，但预案止步于「封堵与上报」。真正的问题是：如果确认攻击者已在网内潜伏一年，你有能力完成口令、证书、会话的全量轮换而不中断业务吗？这个问题最好在演习里回答，而不是在头条里。

八、结语：间谍要知情权，勒索要可用性

做了这么多年网络，我越来越倾向一个说法：勒索软件攻击的是网络的「可用性」，而盐台风这类间谍行动攻击的是「知情权」。前者停电看得见，用户会骂；后者无声无息，可能在你的网里住两年，你唯一的损失是「你不再知道自己泄露了多少」。后者的防御逻辑完全不同——它不靠边界围墙，靠的是日志、基线、狩猎和「假定已失陷」的偏执。

到2026年10月，盐台风事件就满两年了。驱逐完成了吗？官方口径是完成了。结束了吗？日本NTT事件、彭博社关于国民警卫队的报道都在提醒：没有。对通信行业来说，这份代价清单上每一行都不是费用问题，而是教材——用美国、日本顶级运营商的真实网络当标本，教会全世界同行一件事：电信网最深的护城河，从来不在空口的Gbps，而在那些没人看得见、却握着全网钥匙的房间里。

参考来源

1. CISA Advisory AA24-338A: Enhanced Visibility and Hardening Guidance for Communications Infrastructure — CISA/NSA/FBI与澳加新英四国机构联合发布的通信基础设施加固指南，本文加固措施部分的官方依据
2. Wikipedia: Salt Typhoon — 事件全景时间线与媒体信源汇总，用于交叉核对受影响运营商名单
3. Wikipedia: Communications Assistance for Law Enforcement Act — 美国合法监听制度背景，理解监听系统架构的前提
4. NTT Docomo News Release — 2025年7月NTT数据泄露事件的官方公告入口（据公告，波及集团内外8家通信企业）
5. FCC News & Events — 2025年3月FCC对四大运营商数据保护措施立案调查的官方公告入口

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。