概述：2024年10月起，一场代号「盐台风」（Salt Typhoon）的网络渗透行动浮出水面：至少九家美国主流电信运营商被同一国家级黑客组织长期潜伏，而攻击者的最终目标不是勒索、不是DDoS，而是运营商依据《CALEA法案》-built的合法监听系统本身——全网权限最高、却最少有人盯防的孤岛。本文按时间线复盘事件、解剖合法监听（Lawful Intercept）系统的架构软肋、梳理FCC 2025年新规与行业诉讼的拉锯，并给出国内运营商与设备工程师可直接落地的加固清单。
干过核心网的同行都知道，运营商网络里有一类特殊的网元：它不承载业务量，却拥有“看穿全网”的权限；它不出现在常规割接计划里，却连接着核心网所有关键接口；它的运维往往由厂商远程代管，连本局工程师都很少登录。这就是合法监听系统（Lawful Intercept，LI）。
2024年秋天曝出的「盐台风」事件，把这类系统的安全问题彻底掀上了台面。据FBI与CISA（美国网络安全和基础设施安全局）的官方通报，一个被微软等安全厂商追踪为 Salt Typhoon 的国家级黑客组织，渗透了美国至少九家主流电信运营商——包括AT&T、Verizon、T-Mobile、Lumen、Frontier、Consolidated、Windstream等，其中既有全国性巨头，也有区域型固网运营商。
按2024年12月白宫副国家安全顾问Anne Neuberger通报的口径：攻击者窃取了约四十部特定目标手机的通话元数据（主被叫、时长、位置类信息），涉及政府高官与竞选团队；少数目标连语音内容都被录走。这个数字乍看不吓人——四十部手机，对一张亿级用户的网络来说九牛一毛。但真正让美国安全圈脊背发凉的是后一条：攻击者进入了运营商用于执法监听的系统。换句话说，他们不是偷了数据，而是接管了「偷数据的合法管道」。
T-Mobile在2025年1月公开表示已完成清除、未发现客户数据被大规模窃取；但据Wired的后续调查报道，直到2025年年中，仍有个别运营商网络中残留入侵痕迹——一场驱逐战打了大半年还没打完，这在APT（高级持续性威胁）的攻防里并不罕见，却足以说明运营商网络的纵深防御有多脆弱。
| 时间 | 事件 |
|---|---|
| 2024年9–10月 | 多家美媒披露美国电信业遭国家级渗透，业界代号「盐台风」，与追踪多年的GhostEmperor工具集存在关联（内核级rootkit） |
| 2024年11月 | FCC提出规则：设施型运营商须建立网络安全风险管理计划并年度认证 |
| 2024年12月 | FBI/CISA确认至少八至九家运营商被入侵；白宫简报通报约四十部目标手机元数据失窃、少数目标语音被录 |
| 2025年初 | 参议员怀登（Ron Wyden）办公室披露：多家运营商的合法监听基础设施被侵入，呼吁改革监听制度 |
| 2025年1月 | T-Mobile宣布完成清除；FBI协助各局开展驱逐与换装行动（淘汰EOL路由器、重置凭据） |
| 2025年3月13日 | FCC正式通过新规：运营商须参照NIST CSF 2.0建立网络安全风险管理计划（CRMP）并逐年提交合规认证 |
| 2025年上半年 | 据行业媒体报道，CTIA等行业协会向联邦第六巡回上诉法院起诉FCC，主张新规越权；同期加拿大、欧洲亦有电信商遭同族组织渗透的披露（据报道） |
| 2025年中 | Wired调查报道：仍有运营商网络未彻底清除入侵者 |
要理解这次事件的杀伤力，得先看懂合法监听系统在一张网里的位置。国际上通行的是ETSI LI架构：执法机关送达监听令后，通过HI1接口激活监听；网内的监听 mediation 设备向核心网元（MSC/IMS/EPG网元或SBC）下发镜像规则（X1配配套、X2/X3采集），再把话单类信息（HI2）和内容（HI3）加密递送到执法侧的监听中心。
sequenceDiagram
participant LE as 执法机关
participant MC as 监听中心
participant LI as 网内监听平台
participant NE as 核心网元
LE->>MC: 送达监听令
MC->>LI: HI1激活监听
LI->>NE: 下发镜像规则
NE-->>LI: 副本流量
LI-->>MC: HI2话单与HI3录音
这套架构的天生矛盾在于三句话：
第一，它的权限是全网最高的。 监听平台能按号码拉出任何用户的通话记录与内容，本质上是「内置在网里的超级后门」——只不过这个后门是法律要求建的。
第二，它的可见度是全网最低的。 出于合规隔离的要求，监听系统的账号、日志、接口普遍与生产运维体系割裂：常规网管看不到它，SOC的安全事件关联里往往也没有它的查询审计。一个运行了十几年的监听平台，可能从未被渗透测试覆盖过。
第三，它的架构是全网最老的。 监听系统属于典型的「合规资产」：建完就锁定，轻易不动。操作系统老版本、静态口令、厂商远程代管账号长期有效，都是这类设备的常见形态。它监听别人，却几乎没有人监视它。
攻击者选它作为目标，是教科书级的「找软肋」：不需要打穿核心网，只需要进入这个孤岛，就等于拿到了全网任意用户的话单与录音提取权，而且所有动作都长得像「合法监听作业」——这正是事件中最难检测的部分。据怀登办公室的披露与后续报道，这次被侵入的正是多家运营商的监听基础设施，「合法窃听成了最好的后门」这句话，从此写进了安全圈的反面教材。
综合FBI/CISA的通报与Wired等媒体的调查，盐台风的典型入侵链路可以归纳如下（各局细节不同，以下是公开材料中的共性归纳）：
flowchart TD
A["老旧边界设备失守<br/>EOL路由器与VPN"] --> B["抓取配置与凭据"]
B --> C["横向移动<br/>进入运维管理网"]
C --> D["摸到监听平台"]
D --> E["以合法功能拉取话单"]
D --> F["部署内核级后门"]
E --> G["元数据分批外传"]
F --> H["长期潜伏反复进出"]
这条链路里有三个值得工程师咀嚼的细节。
其一，突破口大量落在生命周期末端的网络设备上。 FBI在事后通告里专门建议各局淘汰EOL（停止维护）路由器并重置全部相关凭据。这类设备往往挂在网络最边缘、最没人在意，但它们掌握着进网的合法通道。安全预算总是优先给核心网，而APT偏偏从边角的资产进来——这与我们做割接的直觉完全相反：危险度不等于资产重要度，等于「权限×无人盯防」。
其二，横移走的是运维管理面。 拿到边界设备的本地凭据后，攻击者沿着管理网（OSS/网管VLAN）一路向内，最终触达监听平台。运营商网络的传统假设是「专用协议、封闭网络，外面进不来」，但二十年的IP化早已打破了这个假设——管理面与业务面的隔离，很多局点在纸面上有、在配置里松。
其三，外传动作伪装成合法监听作业。 从监听平台里查一份话单，与执法机关的正常调证在日志上几乎无法区分，除非查询审计本身被独立监视。这也是为什么事后FBI建议把监听相关的查询日志纳入集中检测——「谁来监视监视者」，成了这次事件留给全球运营商的必答题。
事件直接催生了美国电信业十几年来力度最大的安全监管动作。2025年3月13日，FCC通过新规：所有设施型运营商必须参照NIST CSF 2.0（或等效框架）建立网络安全风险管理计划，每年更新并逐年向FCC提交合规认证。这是FCC首次把「网络安全管理」从建议变成持牌义务。
但反弹同样激烈。据行业媒体报道，CTIA等行业协会随即向第六巡回上诉法院提起诉讼，核心主张是：FCC在国会有无明确授权的情况下创设年度认证义务，属于越权；而且「每年交一份计划书」这种合规填表，与真实攻防能力之间隔着十万八千里。这场官司截至发稿仍在拉锯中，但它点破了电信安全监管的根本困境——监管能强制的是流程，攻击者攻击的是技术。一份参照NIST框架写出来的CRMP文档，挡不住一条内核级rootkit。
真正有实效的反而是那些不体面的苦活：FBI牵头协助各局驱逐入侵者、全网淘汰EOL设备、重置凭据、收缩VPN入口、把监听系统纳入统一资产与日志管理。据Wired报道，T-Mobile等局点正是靠着网络分段与快速换装完成了清除。监管给了方向，止血靠的还是一张网一张网地做工程。
盐台风不是孤立事件，它暴露的是全球运营商网络的共性软肋。以下六条，每一张网都值得自查：
盐台风事件最刺眼的地方，不在于黑客有多强，而在于他们攻击的对象——合法监听系统——恰恰是运营商网络里「权限最高、历史最老、盯防最少」的三重孤岛。法律为了执法便利在网络里预埋的管道，成了国家级攻击者现成的高速公路。FCC的新规和随后的诉讼，争的是合规的边界；而真正决定下一次攻防胜负的，是每一张网里那些没人登录过的盒子、五年没换过的口令、和从未被监视过的查询日志。合规是地板，不是天花板——对运营商务实如此，对任何手里握着「合法特权系统」的行业，都一样。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。