**概述**：2024年10月，一场代号「盐台风」（Salt Typhoon，微软命名；美国网络安全公司Recorded Future称其为RedMike）的网络渗透行动被曝光：至少8家美国电信运营商的内部网络被长期潜伏，执法监听系统与话单元数据遭窃，波及大量政治人物。随后日本NTT Docomo等8家通信企业相继沦陷，美国FCC立案调查。本文回答三个问题：攻击者是如何摸进电信运营商最核心的监听系统的？这场持续两年的风暴暴露了电信网哪些结构性软肋？一线网络工程师能从中带走什么？ ## 目录 - 一、风暴起点：窃听专线被撬开 - 二、时间线与战果清单 - 三、攻击链拆解：边界设备是第一嫌疑犯 - 四、为什么监听系统成了最软的柿子 - 五、各家中招清单与损失评估 - 六、官方应对：从七国联合指南到FCC立案 - 七、给通信工程师的七面镜子 - 八、结语：间谍要知情权，勒索要可用性 ## 一、风暴起点：窃听专线被撬开 2024年10月6日，《华尔街日报》率先报道：多家美国互联网与电信服务提供商遭中国政府支持黑客渗透。微软随后将这一威胁组织命名为Salt Typhoon，媒体将其意译为「盐台风」。中国驻美使馆则公开否认相关指控，称其为「虚假信息」——归属问题各方各执一词，但入侵本身的存在，随后被美国官方逐一证实。 这起事件最令人不安的地方，不在于「进了网」，而在于「进了哪张网」。据多位美国议员和媒体后续披露，攻击者在部分运营商内部抵达了执法监听系统——也就是依据《通信协助执法法》（CALEA）必须预留的合法监听平台，以及承载通话记录的话单系统。换句话说，攻击者站上了运营商的「上帝视角」：任何一个目标号码入网，其全部通话元数据都可以被批量拉走。 对做了十几年核心网运维的人来说，这个位置意味着什么再清楚不过：它不是外网侧的边缘PoP，不是计费网关，而是全网权限等级最高的平台之一。间谍组织花大力气也要摸到那里，恰恰说明电信网真正的「王冠」不在空口速率，而在这些二十年如一日沉默运行的支撑系统里。 ## 二、时间线与战果清单 先把两年来公开可查的事件脉络铺开，信源口径我逐条标注——哪些是官方证实、哪些是媒体报道，工程师读安全事件必须先分清这两层。 | 时间 | 事件 | 信源口径 | |------|------|----------| | 2024-10-06 | 《华尔街日报》首曝多家美国电信商遭渗透 | 媒体报道 | | 2024-10下旬 | 波及名单扩至AT&T、Verizon、T-Mobile等，微软命名Salt Typhoon | 媒体报道 | | 2024-11 | 参议员怀登（Ron Wyden）致信FCC：至少8家运营商沦陷，部分监听系统失守 | 公开信件 | | 2024-12-04 | 白宫跨部门简报；CISA官员公开建议民众使用端到端加密通信 | 据美国媒体报道 | | 2024-12-18 | CISA、NSA、FBI联合澳加新英四国机构发布加固指南AA24-338A | 官方公告 | | 2025-01中旬 | FBI与CISA表示，主要运营商网络内的攻击者已被清除 | 官方表态 | | 2025-03 | FCC对AT&T、Verizon、T-Mobile、Lumen的数据保护措施立案调查 | 官方公告 | | 2025-07 | NTT Docomo公告：经NTT内网波及日本8家通信企业，个人信息最高或达数百万人级 | 官方公告+媒体报道 | | 2025-07 | 据彭博社报道，美国国民警卫队网络亦被波及 | 媒体报道 | | 2026-10 | 事件两周年，各机构对Salt Typhoon的跟踪仍在继续 | 本文写作时点 | 这张表里有一个容易被忽略的细节：2025年1月官方宣布「清除完成」，但7月日本NTT事件又出现了手法高度相似的渗透。这不是同一场火灾的余烬，而是同一支纵火队伍换了栋楼。这也是APT类事件的典型节奏——驱逐、回渗、再驱逐，没有「结案」这个概念。 ## 三、攻击链拆解：边界设备是第一嫌疑犯 综合CISA指南与多家安全厂商的分析报告，Salt Typhoon的攻击链可以被还原成下面这条路径： ```mermaid flowchart TD A["盐台风初始突破"] --> B["边界设备漏洞与弱口令"] B --> C["拿到VPN防火墙管理权"] C --> D["劫持运维通道与账号"] D --> E["内网横向移动"] E --> F["抵达话单与监听平台"] F --> G["批量拉取通话元数据"] G --> H["安装常驻后门"] H --> I["长期潜伏分批回传"] ``` 逐段说重点。 **初始突破几乎全在边界设备上。** 运营商网络里那排谁都不会多看一眼的VPN网关、企业级防火墙、远程接入设备，正是这场风暴的风眼。这些设备的共同特征是：直接暴露在公网、固件版本老旧、管理口令复杂度参差不齐、厂商漏洞公告永远比补丁窗口跑得快。多家安全厂商的分析指出，攻击者大量利用了边界设备的已知漏洞与默认/弱口令，并采取「就地取材」（living off the land）策略——用设备自带的管理功能和合法运维工具作案，让告警看起来像一次普通的割接。 **横向移动走的是运维通道。** 拿下边界设备后，攻击者不需要什么惊天动地的0day：运营商内网里，网管VLAN、带外管理网、跳板机之间的信任关系往往是「以拓扑代安全」。拿到一台边界设备的管理权，常常等于拿到一张内网观光票。 **目标是元数据，不是内容。** 据公开报道，这轮渗透以通话记录、通话时长、主被叫关系等元数据为主，针对性拉取特定人物的数据，包括据《华盛顿邮报》等报道的特朗普、万斯在内的约50名政治人物的通话元数据。只拿元数据不动内容，意味着数据量小、难以触发DLP类告警、事后追溯困难——这是教科书级的间谍作业。 ## 四、为什么监听系统成了最软的柿子 这是整个事件里最值得通信从业者深思的一节。 CALEA要求运营商为执法预留合法监听能力：呼叫发生时，侦控接入功能把目标话务复制一份，交由监听中介设备整理后递送执法机构。3GPP体系里对应的是TS 33.106等一整套合法监听规范。这套机制的设计初衷是「只在需要时、只对指定目标」开放，但工程实现上，它天然形成一个高价值汇聚点： - **权限汇聚**：监听平台能看到全网任意目标的话单与话音副本，一台设备的失守等于全网失守； - **网龄偏老**：监听平台多由专业厂商独立交付，采购周期长、版本迭代慢，不少平台长期「稳定运行就不动它」； - **知道的人少，审计更少**：能接触监听平台的账号屈指可数，反而意味着针对这些账号的异常行为缺乏足够的交叉审计； - **信任链复杂**：执法接口、运营商侧、中介设备三方互联，任何一方账号体系被渗透都会污染整条链路。 怀登参议员在2024年11月的公开信里把这一点挑明：监听系统的这种中心化架构本身就是风险。需要说明的是，标准允许多种实现，各运营商与厂家的具体安全设计以其官方文档为准；但架构层面「监听平台是全网最高价值单点」这个判断，在这次事件后基本成为行业共识。 还有一个更冷峻的推论：间谍组织为什么要盯监听系统？因为绕过它太麻烦。与其逐个运营商挖用户数据，不如直接坐在监听平台上等数据流过。你的合规系统，成了攻击者的免费情报管道。 ## 五、各家中招清单与损失评估 | 运营商 | 据公开信息的损失 | 响应口径 | |--------|------------------|----------| | AT&T | 少量客户通话元数据被窃（据报道） | 配合联邦调查 | | Verizon | 少数政要相关元数据被窃（据报道） | 证实配合调查 | | T-Mobile | 自称入侵后数天内发现并清除，波及极少量客户数据 | 官方声明 | | Lumen | 边界设备遭渗透（据媒体报道） | 调查 | | Charter、Cox、Windstream、MetroNet、Consolidated | 程度不一，多在边界设备与内网层面 | 媒体报道 | | NTT系8家（含Docomo、KDDI、SoftBank相关企业） | 民众姓名、电话、地址等个人信息，NTT Docomo口径最高约560万人（据媒体报道） | 官方公告 | 几点解读。第一，各家损失差异极大，T-Mobile的「数天清除」与别家的长期驻留形成鲜明对比——区别不在攻击者，而在各家的检测能力：有集中日志和专职狩猎团队的，入侵像消防演习；没有的，入侵像空气。第二，日本NTT事件说明这套打法具备完整的可复制性：据NTT公告与媒体报道，攻击从集团内网一处接入点进入后横向扩散，波及集团内外8家通信企业。第三，AT&T、Verizon等从未公布被窃数据的完整清单，「少量」这个措辞是美国参议院情报委员会听证后媒体转述的口径，实际规模未经官方证实。 ## 六、官方应对：从七国联合指南到FCC立案 2024年12月18日，CISA、NSA、FBI与澳大利亚、加拿大、新西兰、英国四国网络安全机构联合发布安全公告AA24-338A《增强通信基础设施的可视性与加固指南》。这是「盐台风」事件最权威的官方文档，核心要求可以压成一张表： | 指南要求 | 通信网落地做法 | |----------|----------------| | 集中收集并监控边界设备日志 | 网管/防火墙/VPN日志全部北向送安全平台，留存不可本地篡改 | | 边界设备部署EDR或替代检测手段 | 老旧设备装不了Agent，就用配置基线+流量侧检测补偿 | | 清除默认口令、加固管理协议 | Telnet/SNMPv2清零，SSH强算法，管理面双因素认证 | | 替换停服（EOL）设备并修补漏洞 | 建EOL台账，纳入年度割接计划，漏洞公告48小时响应 | 在此之前的12月4日白宫简报会上，CISA高管Jeff Greene那句被广泛引用的话值得原样记下：据美国媒体报道，他说「加密是你的朋友，我们的建议就是去用它」。一个国家级网络防御机构的官员公开建议民众改用端到端加密通信——这等于官方承认：管道侧的防御再强，也无法保证端到端管道上的每一个环节都不失守。 监管层面，FCC在2025年3月对四家运营商的数据保护措施立案调查，并启动了把监听系统安全纳入运营商合规义务的规则修订程序（据FCC公告与媒体报道）。这是本事件最具长期影响的动作：过去CALEA只管「你必须能监听」，今后可能同时管「你的监听系统必须防得住」。 ```mermaid flowchart TD A["发现入侵痕迹"] --> B["隔离受控边界设备"] B --> C["全网轮换口令与证书"] C --> D["重装或替换EOL设备"] D --> E["重建集中日志基线"] E --> F["持续狩猎验证清零"] F --> G["复盘更新加固基线"] ``` 上面这张图是美国主要运营商2025年1月完成「驱逐」的抽象流程。注意第三步：口令、证书、会话令牌全量轮换。APT驱逐不是把坏进程杀掉就完事，攻击者只要还握着一张有效凭证，随时会再进来。 ## 七、给通信工程师的七面镜子 盐台风的打法没有任何一步超出「网络工程师的日常技能树」，这正是它可怕的地方。对照国内网络运维实践，我认为至少有七面镜子： 1. **边界设备是第一嫌疑犯**。做故障排查时习惯性信任防火墙、VPN网关的日志？盐台风告诉我们，这些设备本身就该被怀疑。边界设备的管理权要按核心网网元等级管控。 2. **监听与支撑平台按最高密级管理**。合法监听、信令采集、DPI这类「上帝视角」平台，账号、审计、网络分区都要对齐最高标准，任何一个人能登录的口子都是一个潜在的未来头条。 3. **没有集中日志等于没有日志**。设备本地日志在入侵者拿到管理权的那一刻就不可信了。北向集中、异地留存、基线告警，是AA24-338A最核心的一条，也是国内很多网络尚未补齐的一条。 4. **EOL设备台账不是文档，是排雷图**。每一台停止维护的边界设备，都是一个已知的、有编号的、可被检索的漏洞。 5. **管理协议清零行动**。Telnet、SNMPv2、HTTP管理面、默认社区字串——这类「祖传配置」在割接密集期最容易漏改，值得发起一次全网专项。 6. **供应链与运维商账号**。NTT事件的切入点在集团内网的接入环节；代维、集成商、厂商远程支持账号的权限边界与行为审计，是事件复盘里最常被追问的一环。 7. **驱逐演练要常态化**。很多网络有应急预案，但预案止步于「封堵与上报」。真正的问题是：如果确认攻击者已在网内潜伏一年，你有能力完成口令、证书、会话的全量轮换而不中断业务吗？这个问题最好在演习里回答，而不是在头条里。 ## 八、结语：间谍要知情权，勒索要可用性 做了这么多年网络，我越来越倾向一个说法：勒索软件攻击的是网络的「可用性」，而盐台风这类间谍行动攻击的是「知情权」。前者停电看得见，用户会骂；后者无声无息，可能在你的网里住两年，你唯一的损失是「你不再知道自己泄露了多少」。后者的防御逻辑完全不同——它不靠边界围墙，靠的是日志、基线、狩猎和「假定已失陷」的偏执。 到2026年10月，盐台风事件就满两年了。驱逐完成了吗？官方口径是完成了。结束了吗？日本NTT事件、彭博社关于国民警卫队的报道都在提醒：没有。对通信行业来说，这份代价清单上每一行都不是费用问题，而是教材——用美国、日本顶级运营商的真实网络当标本，教会全世界同行一件事：电信网最深的护城河，从来不在空口的Gbps，而在那些没人看得见、却握着全网钥匙的房间里。 ## 参考来源 1. [CISA Advisory AA24-338A: Enhanced Visibility and Hardening Guidance for Communications Infrastructure](https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-338a) — CISA/NSA/FBI与澳加新英四国机构联合发布的通信基础设施加固指南，本文加固措施部分的官方依据 2. [Wikipedia: Salt Typhoon](https://en.wikipedia.org/wiki/Salt_Typhoon) — 事件全景时间线与媒体信源汇总，用于交叉核对受影响运营商名单 3. [Wikipedia: Communications Assistance for Law Enforcement Act](https://en.wikipedia.org/wiki/Communications_Assistance_for_Law_Enforcement_Act) — 美国合法监听制度背景，理解监听系统架构的前提 4. [NTT Docomo News Release](https://www.nttdocomo.co.jp/info/news_release/) — 2025年7月NTT数据泄露事件的官方公告入口（据公告，波及集团内外8家通信企业） 5. [FCC News & Events](https://www.fcc.gov/news-events/) — 2025年3月FCC对四大运营商数据保护措施立案调查的官方公告入口 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。