Para senator juga memberikan bukti dalam surat mereka bahwa perusahaan telekomunikasi AS telah bekerja sama dengan perusahaan keamanan siber pihak ketiga untuk melakukan audit terhadap sistem mereka yang terkait dengan protokol telekomunikasi yang dikenal sebagai SS7 tetapi menolak untuk membuat hasil evaluasi tersebut tersedia untuk Departemen Pertahanan. “DOD telah meminta salinan hasil audit pihak ketiga dari operator dan diberitahu bahwa informasi tersebut dianggap sebagai informasi yang dilindungi oleh hak privasi klien,” departemen tersebut menulis sebagai jawaban atas pertanyaan dari kantor Wyden.
Pentagon memiliki kontrak dengan operator besar AS untuk sebagian besar infrastruktur telekomunikasinya, yang berarti bahwa mereka mewarisi potensi kelemahan keamanan korporat yang mungkin mereka miliki tetapi juga kerentanan warisan di jantung jaringan telepon mereka.
AT&T dan Verizon tidak menanggapi beberapa permintaan komentar dari WIRED. T-Mobile juga dilaporkan diretas dalam kampanye Salt Typhoon, tetapi perusahaan tersebut mengatakan dalam sebuah pos blog minggu lalu bahwa mereka tidak melihat tanda-tanda kompromi. T-Mobile memiliki kontrak dengan Angkatan Darat, Angkatan Udara, Komando Operasi Khusus, dan banyak divisi lain dari DOD. Dan pada bulan Juni, perusahaan tersebut mengumumkan kontrak senilai $2,67 miliar dengan Angkatan Laut yang “akan memberikan semua agensi Departemen Pertahanan kemampuan untuk memesan layanan nirkabel dan peralatan dari T-Mobile selama 10 tahun ke depan.”
Dalam wawancara dengan WIRED, kepala petugas keamanan T-Mobile Jeff Simon mengatakan bahwa perusahaan baru-baru ini mendeteksi aktivitas peretasan yang dilakukan dari infrastruktur routing mereka melalui mitra berbasis kabel yang tidak disebutkan namanya yang mengalami kompromi. T-Mobile tidak yakin bahwa “pelaku jahat” adalah Salt Typhoon, tetapi siapapun dia, Simon mengatakan perusahaan dengan cepat menghentikan upaya intrusi tersebut.
“Dari infrastruktur routing tepi kami, Anda tidak bisa mengakses semua sistem kami – mereka agak terkandung di sana dan kemudian Anda perlu mencoba untuk bergerak antara lingkungan tersebut dan yang lain untuk mendapatkan akses lebih,” kata Simon. “Itu membutuhkan mereka untuk melakukan hal-hal yang cukup bising dan di situlah kami bisa mendeteksinya. Kami telah berinvestasi secara besar dalam kemampuan pemantauan kami. Bukan berarti mereka sempurna, mereka tidak akan pernah sempurna, tetapi ketika seseorang membuat kebisingan di lingkungan kami, kami suka berpikir bahwa kami akan menangkap mereka.”
Di tengah kekacauan Salt Typhoon, pernyataan T-Mobile bahwa mereka tidak mengalami pelanggaran dalam kasus ini patut diperhatikan. Simon mengatakan bahwa perusahaan masih bekerja sama dengan penegak hukum dan industri telekomunikasi secara lebih luas karena situasi tersebut berkembang. Tetapi bukan kebetulan bahwa T-Mobile telah berinvestasi begitu banyak dalam keamanan siber. Perusahaan itu telah mengalami satu dekade pelanggaran berulang-ulang yang mengungkapkan sejumlah besar data pelanggan. Simon mengatakan bahwa sejak dia bergabung dengan perusahaan pada Mei 2023, perusahaan telah mengalami transformasi keamanan yang signifikan. Sebagai contoh, perusahaan menerapkan otentikasi dua faktor yang wajib dengan kunci keamanan fisik bagi semua orang yang berinteraksi dengan sistem T-Mobile, termasuk semua kontraktor selain karyawan. Langkah-langkah seperti itu, katanya, telah mengurangi risiko ancaman seperti phishing secara drastis. Dan perbaikan lain dalam manajemen populasi perangkat dan deteksi jaringan telah membantu perusahaan merasa yakin dalam kemampuannya untuk mempertahankan diri.
“Hari kami melakukan transisi, kami memutus akses sejumlah orang, karena mereka belum mendapatkan YubiKeys mereka. Ada antrian panjang di depan kantor pusat kami,” kata Simon. “Setiap makhluk hidup yang mengakses sistem T-Mobile harus mendapatkan YubiKey dari kami.”
Namun, fakta tetap ada bahwa ada kerentanan mendasar dalam infrastruktur telekomunikasi AS. Meskipun T-Mobile berhasil menggagalkan upaya intrusi terbaru Salt Typhoon, kampanye mata-mata tersebut adalah ilustrasi dramatis dari ketidakamanan yang sudah lama ada di seluruh industri.
“Kami mendorong Anda untuk mempertimbangkan apakah DOD harus menolak untuk memperbarui kontrak-kontrak ini,” para senator menulis, “dan sebagai gantinya, bernegosiasi kembali dengan operator nirkabel yang dikontrak, untuk menuntut mereka mengadopsi pertahanan siber yang berarti terhadap ancaman-survei.”
Pelaporan tambahan oleh Dell Cameron.