En noviembre de 2024, cuatro empleados de T-Mobile condujeron hasta un centro de datos en Bellevue, Washington, entraron con su credencial, encontraron la caja correcta y cortaron el cable de red con un par de tijeras. Ese trozo de cable amarillo deshilachado ahora cuelga enmarcado en la sede de T-Mobile — un trofeo de una de las operaciones de respuesta a incidentes más inusuales en la historia de las telecomunicaciones estadounidenses.
El objetivo era Salt Typhoon, una campaña de hacking respaldada por el estado chino que había estado atravesando las telecomunicaciones estadounidenses durante meses. Y las tijeras eran la herramienta correcta para el trabajo.
Lo que Salt Typhoon realmente hizo
Salt Typhoon no fue un golpe rápido. Fue una operación de espionaje metódica, patrocinada por el estado, que comprometió al menos nueve operadores de telecomunicaciones estadounidenses durante la segunda mitad de 2024. AT&T, Verizon, Lumen, Charter, Windstream y otros fueron afectados. La campaña recopiló registros de llamadas, metadatos y, en algunos casos, llegó a los teléfonos personales de figuras políticas de alto rango, incluyendo a Donald Trump, JD Vance y personal asociado con Kamala Harris.
Los atacantes explotaron la arquitectura fundamental de las redes de telecomunicaciones: los acuerdos de interconexión, roaming, tránsito y mayoreo crean una malla de conexiones de confianza entre operadores. Salt Typhoon se movió lateralmente a través de esas relaciones de confianza, ingresando a la red de un operador a través de la infraestructura comprometida de un socio.
Varios operadores alojaron a Salt Typhoon durante meses. En algunos casos, los hackers penetraron los sistemas de interceptación legal CALEA — la infraestructura diseñada para la vigilancia autorizada por los tribunales. Beijing ha negado participación durante todo el proceso.
Por qué T-Mobile no pudo encontrarlos digitalmente
El equipo de seguridad de T-Mobile pasó meses buscando indicadores de Salt Typhoon en su propia red. No encontraron nada.
Lo que finalmente surgió no fue malware en un servidor de T-Mobile. Fue tráfico anómalo que llegaba desde la red de un proveedor de servicios de línea conectado — tráfico que se originaba en un router perteneciente a una compañía de telecomunicaciones diferente que tenía una conexión de confianza en el entorno de T-Mobile. Los intrusos habían llegado a la infraestructura de enrutamiento perimetral.
Este es el detalle que cambia el manual de respuesta a incidentes. Cuando un adversario ha comprometido la infraestructura de enrutamiento en una conexión de par confiable, el plano de control que normalmente usarías para cerrar la interfaz está dentro del radio de impacto. Un ACL, un cierre de puerto, una regla de firewall — cada uno de esos es un cambio de configuración en equipos cuya integridad es exactamente lo que está en cuestión.
La Capa 1 es la única capa que un atacante con acceso al router no puede revertir.
Las tijeras fueron la respuesta correcta
Jeff Simon, el director de seguridad de T-Mobile durante la campaña de Salt Typhoon y ahora director de información de la operadora, le contó la historia a Bloomberg en agosto de 2026. Él y tres colegas condujeron hasta la instalación de Bellevue. Uno de ellos entró con su credencial. Encontraron el cable. Lo cortaron.
El instinto es leer esto como improvisación o pánico. No fue ninguna de las dos cosas. Fue una decisión deliberada, técnicamente sólida. Cuando no puedes confiar en que una desconexión lógica se mantenga, un corte físico es la única acción que garantiza la terminación. Los atacantes habían llegado a la infraestructura de enrutamiento — el sistema nervioso de la red. Cualquier intervención basada en software habría dependido del mismo equipo que estaba potencialmente comprometido.
Simon ha dicho que los atacantes estuvieron presentes durante un número de días de un solo dígito — un tiempo de permanencia mucho más corto que el que experimentaron otros operadores. T-Mobile no reportó evidencia de impactos en la información del cliente.
La lección sobre los límites de confianza
La lección más profunda del momento de las tijeras de T-Mobile no se trata de respuesta a incidentes. Se trata de confianza.
Los propios controles de T-Mobile no fueron los que fallaron. Los de otro operador sí, y la interconexión entre ellos cargó con la consecuencia. El sector de telecomunicaciones es una malla de relaciones de confianza por diseño, y Salt Typhoon pasó años demostrando que la malla es la superficie de ataque.
Esta es la misma debilidad estructural que permitió que la campaña llegara a las redes de Noruega y a los sistemas de correo electrónico del comité de la Cámara de Representantes. Es el mismo patrón que vemos en ataques a la cadena de suministro en todas las industrias: la brecha ingresa a través de un socio de confianza, no a través de tu propia puerta principal.
T-Mobile buscó durante meses y no encontró nada, luego encontró la intrusión monitoreando el tráfico de un socio en lugar de buscar indicadores dentro de sí mismo. La detección funcionó porque alguien estaba monitoreando las costuras.
Lo que esto significa para tu organización
Si ejecutas infraestructura que se conecta con socios, proveedores o redes de terceros, el manual de Salt Typhoon se aplica a ti. Esto es lo que enseña la experiencia de T-Mobile:
1. Tus límites de confianza son tu superficie de ataque. Cada acuerdo de interconexión, cada túnel VPN, cada conexión API con un socio es un punto de entrada potencial. Audítalos. Monitorea el tráfico que los cruza. Asume que un compromiso del otro lado puede llegar a ti.
2. El aislamiento físico es un control válido. Cuando los controles lógicos están comprometidos, la capacidad de cortar físicamente una conexión no es una señal de falla — es una señal de preparación. Sabes dónde terminan tus interconexiones críticas. Sabes quién puede acceder a ellas. Ten un plan.
3. Monitorea las costuras, no solo el interior. T-Mobile encontró a Salt Typhoon monitoreando el tráfico que llegaba de un socio, no buscando malware dentro de su propia red. El monitoreo de tráfico este-oeste es necesario, pero la visibilidad norte-sur en los límites de confianza es donde los actores patrocinados por estados se revelan.
4. La respuesta a incidentes no siempre es digital. La mejor respuesta a un router comprometido no es una mejor regla de firewall. Son unas tijeras. Construye manuales de respuesta a incidentes que incluyan acciones físicas y empodera a tu equipo para ejecutarlas sin un ciclo de aprobación de tres semanas.
El cable enmarcado
El cable amarillo deshilachado en la sede de T-Mobile es más que un trofeo. Es un recordatorio de que la ciberseguridad es una disciplina física tanto como digital. La campaña de hacking patrocinada por el estado más sofisticada en la historia de las telecomunicaciones estadounidenses fue detenida por cuatro personas que entendieron que a veces la mejor respuesta es la más simple.
Salt Typhoon sigue ahí fuera. La malla de relaciones de confianza que permitió la campaña no ha sido rediseñada. Y en algún lugar de un centro de datos cerca de ti, un cable está transportando tráfico de un socio cuya postura de seguridad no puedes verificar.
La pregunta es si sabrías cortarlo.